网站被挂马的处理流程

浏览器提示网站存在风险，或搜索结果里冒出赌博、彩票类关键词，或日志里出现从未部署过的页面——大概率是网站被挂马了。挂马损害访客信任，还可能被搜索引擎降权，处理按五步走，别跳步骤。 第一步，隔离止损。先判断影响面：挂在哪个站点、哪个目录、有没有后门在持续扩散。确认后把受影响的站点或目录临时下线，或用白名单限制只有管理员 IP 可访问，防止更多访客中招，也给自己争取清理时间。 第二步，查清入口与范围。对比线上文件与最近的程序备份，找出被改动或新增的文件： find /var/www -mtime -7 -type f | sort 重点核查一周内被修改的脚本。再从 Web 日志回溯时间线：异常请求首次出现的时间、访问了哪个 URL、提交了什么内容，通常能定位到漏洞入口——弱口令、旧版本组件、上传漏洞，这三者最常见。 第三步，清理。删除 webshell 与被篡改的页面，用干净备份恢复被改动的程序文件；数据库里被注入的垃圾内容，比如文章表里插入的链接，逐表清理。注意所用的备份必须是确认干净时期的版本，拿一份本身带马的备份来恢复，等于白清。清理完成后，把相关口令全部换掉：后台、数据库、FTP、服务器 SSH，一个不留。 第四步，加固。程序与组件升级到最新版，上传目录取消执行权限，后台路径加来源限制，条件允许就配置 WAF 拦截常见攻击载荷。跳过这一步，挂马大概率几天内重演。 第五步，复盘。写清三点：入口是什么、为什么没早发现、下次怎么防，把结论落成检查项。 常见报错：清理后搜索引擎仍展示旧的关键词快照，属于正常延迟，到搜索平台提交申诉、申请重新抓取，耐心等待更新；反复被挂说明入口没堵住，回到第二步重新排查，别只顾着删文件。