网站被挂马，是每个站长迟早会遇到的事，尤其是用了开源程序、装了第三方主题插件的小站。挂马不可怕，可怕的是发现之后乱操作：有人直接重装系统，结果没留证据也没搞清楚漏洞在哪，过几天又被打回来；有人只删了首页的恶意代码，结果木马文件还在，第二天又跳转赌博站。这篇文章按实战流程讲清楚：发现迹象、隔离取证、排查清理、修补漏洞、恢复上线，一步步来。

一、怎么发现网站被挂了

被挂马的迹象通常有这几类，中一条就要警惕：

• 百度搜索提示「该网站可能存在恶意程序」，或访问时浏览器拦截；
• 首页或全站被跳转到赌博、色情、博彩等站点，或者页面被注入大量垃圾关键词和隐藏链接；
• 服务器 CPU、内存无故飙高，网站访问极慢，数据库连接数异常；
• 网站目录里出现不明文件，比如带随机字符的 php 文件、js 文件，或者源码文件被篡改；
• 友链、页面底部被人偷偷加了外链，收录变差，site 查询出现大量垃圾页面。

如果只是收录变差、页面有隐藏文字，可能只是被注入；如果首页直接跳转、CPU 飙满，那基本是已经被拿下权限了，按下面的流程处理。

1.1 先分清你遇到的是哪类攻击

挂马的原因不同，处理方式也不同，先对号入座：

• 页面被注入跳转代码或隐藏链接：通常是站点程序被注入了恶意脚本，属于 Web 层面问题，程序文件里大概率能找到恶意代码；
• 出现陌生的 php 木马文件（一句话木马、Webshell）：说明有人已经通过某个漏洞上传了后门，随时可以远程控制你的网站，处理优先级最高；
• 服务器 CPU 持续 100%、有进程疯狂外连：多半是被种了挖矿木马，此时已经拿到服务器权限，需要系统层面全面排查；
• 数据被加密、页面被篡改勒索：这是最严重的情况，先隔离服务器，再评估数据恢复方案，平时有没有备份这时候就是生死线。

搞清类型之后，再按下面的应急流程执行，就不会手忙脚乱。

二、第一步：隔离与取证

发现被挂马后，第一件事不是删文件，而是止损和留证据：

• 如果影响严重（比如整站跳转、服务器被挖矿），先断开公网访问或封掉可疑 IP，避免继续被利用；
• 立即做快照或完整备份（网站文件 + 数据库），备份放本地，这是取证和恢复的依据；
• 记录发现时间、异常现象，方便后面对照日志排查。

记住：在被彻底搞清楚之前，不要重装系统、不要删数据库，否则证据没了，漏洞没补，等于白干。

三、第二步：排查系统层面

先从服务器系统层查起，看攻击者拿到了什么权限。登录服务器后依次检查：

• last 和 lastb：看登录记录，有没有陌生 IP 登录成功；
• cat /var/log/auth.log 或 /var/log/secure：看 SSH 登录日志，重点找爆破成功迹象；
• ps aux 和 top：找 CPU 占用异常的进程，挖矿木马特征明显；
• crontab -l 以及 /var/spool/cron 下的文件：攻击者最爱往定时任务里塞下载木马、反弹 shell 的命令；
• ls -la ~/.ssh/：检查 authorized_keys 有没有被追加陌生公钥，这是后门常见手段；
• ss -antlp：看有没有异常监听的端口或外连。

发现可疑进程或定时任务，先记录下来再处理，别急着 kill，先看它执行的完整命令，通常能顺藤摸瓜找到木马文件位置。

四、第三步：排查 Web 层面

大多数个人站被挂马，漏洞出在 Web 程序上。重点查网站根目录：

• 用 find /网站目录 -type f -mtime -7 找出最近 7 天被修改的文件，攻击时间窗口内新增和变更的文件基本就是问题所在；
• 重点检查 php、js 文件里是否有 eval(、base64_decode(、assert(、system(、shell_exec( 等危险函数，特别是经过 base64 编码混淆的长字符串，几乎可以断定是木马；
• 检查上传目录（WordPress 的 wp-content/uploads、Typecho 的 usr/uploads），攻击者常把一句话木马伪装成图片传上来，配合解析漏洞执行；
• 检查主题和插件目录，尤其是从非官方渠道下载的破解主题，十有八九内置后门；
• 对照官方原版文件，用 diff 找出被篡改的核心文件。

找到可疑文件先别删，把内容复制下来存好（一是留证，二是判断木马功能），确认无误后再清理。

五、第四步：清理与修复

清理不是删几个文件就完事，要按这个顺序：

• 删除确认的木马文件、恶意定时任务、异常 SSH 密钥、可疑系统用户；
• 网站程序核心文件被篡改的，直接覆盖回官方原版（下载同版本覆盖，或干脆重装程序，数据库保留）；
• 全站搜索危险函数和恶意外链关键词，确认没有遗漏的后门；
• 修改所有密码：服务器 root、数据库、后台管理员、FTP，一律换成强密码；
• 如果怀疑数据库被注入垃圾内容，检查并清理数据表中的恶意链接和垃圾文章。

六、第五步：找到漏洞根源

不补漏洞，清理等于白做，三天后还会再被打。常见的入侵途径按概率排序：

1. 后台弱口令 / 后台地址被爆破——改成强密码 + 更换后台路径 + 登录验证码；
2. 插件、主题存在已知漏洞且长期不更新——及时升级，卸载不用且不再维护的插件；
3. 文件上传漏洞——限制上传目录的 PHP 执行权限，Nginx 里对 uploads 目录禁用 php 解析；
4. 服务器其他服务被利用（Redis 未授权、数据库端口暴露、SSH 弱口令）——只开放必要端口，服务绑定内网或加密码；
5. 源码泄露或备份文件被下载——禁止 .git、.bak、压缩包等敏感文件被直接访问。

七、恢复上线与后续加固

确认清理干净、漏洞已补之后，再恢复访问。上线后建议持续观察一段时间：每天看访问日志有没有异常请求、检查文件有没有再次被修改。有条件的话上云 WAF 或服务器安全软件做实时防护，配合前面说的定期备份，即使再被攻击也能快速恢复。

最后说句实在话：安全不是一次性的，是持续的过程。定期更新程序、最小化暴露面、勤备份，做到这三条，绝大多数个人站的安全事故都能避免。

八、补充：几件应急后必做的事

网站恢复上线不代表事情结束了，下面这几件事建议在一周内做完，防止二次被攻击：

• 把全站账号密码再换一轮，包括服务器、数据库、FTP、博客后台，并且全部启用双因素认证，不要一个密码走天下；
• 检查是否有隐藏管理员账号，WordPress 后台用户列表、数据库 usermeta 表都要看，防止攻击者留了后门账号；
• 开启访问日志和文件完整性监控，至少每周看一眼日志里的异常请求（比如大量 POST 到上传接口、访问可疑路径）；
• 清理不再使用的插件、主题和测试文件，程序升级到最新稳定版，老版本漏洞是挂马的主要入口；
• 如果这次是通过备份恢复的，确认恢复后的备份文件本身是干净的，否则等于把木马又搬回来了。

被挂一次马，其实是给你做了一次免费的安全体检。把这次暴露出来的问题都补上，网站会比以前结实得多。