怎么检测网站被黑？排查步骤一文讲清

很多站长做网站久了，难免会碰到网站被黑的情况，可能是挂了黑链，也可能是被植入了木马，还有的直接被篡改了首页。但很多新手站长发现网站异常后，不知道怎么检测是不是真的被黑，也不知道从哪里下手排查，白白耽误了恢复时间，甚至还会导致搜索引擎对网站做出降权、删除收录之类的惩罚。今天我就以自己多年做站长的经验，给大家讲几个可执行的网站被黑检测方法，不管你是新手还是老站长，都能一步步跟着排查，快速定位问题所在。

先看前端直观异常，快速初步判断

很多时候网站被黑，前端就能直接看出异常，这是最初步也是最容易操作的检测方法。你可以先打开网站的首页，看看有没有不是你自己添加的弹窗、赌博色情类的广告、陌生的跳转链接，再看看页面标题、描述是不是被改得乱七八糟，这些都是非常明显的被黑特征。如果首页没看出异常，那就随机点开十个八个内页，尤其是文章页、产品页，右键查看页面源代码，看看源代码里有没有不是你添加的隐藏黑链，一般黑链会用和背景同色的字体隐藏，正常浏览看不到，但是看源代码就能发现。还要检查根目录下的robots.txt文件，有没有被新增了禁止抓取的规则，或者加了陌生的Allow规则，这些都是攻击者常用的操作，用来隐藏他们上传的恶意页面。

检查服务器和主机日志，定位入侵痕迹

如果前端没发现异常，但是你感觉网站不对，比如流量突然异常飙升，或者后台登录出现无法解释的问题，那就要去看服务器的访问和错误日志了。如果你用的是虚拟主机，一般在主机管理后台就能找到访问日志和错误日志的下载入口；如果是云服务器，那就可以直接去日志目录查看，比如nginx的日志一般在/var/log/nginx/下面，apache的日志在/var/log/apache2/下面。你可以看看有没有大量陌生IP的异常访问，比如短时间内同一个IP反复请求同一个不存在的php文件，或者有很多对wp-admin、phpMyAdmin这类后台路径的爆破尝试，另外可以用find命令查看服务器上最近3天被修改的文件：find /var/www/ -type f -mtime -3，看看有没有最近被修改的你不认识的php文件，这些都很可能是攻击者留下的木马后门。

用搜索引擎站长工具检测被黑状态

现在各大搜索引擎都提供了站长平台，里面自带网站被黑检测的功能，这个是非常好用的官方免费工具，一定要用上。比如百度搜索资源平台，登录之后绑定好你的网站，就能在「安全与防护」板块看到网站的安全检测结果，如果网站被黑，这里会直接提示你存在风险，还会告诉你风险的类型，是挂马还是黑链还是其他问题，甚至会告诉你出问题的页面链接。另外，你也可以直接用site:你的域名指令在搜索引擎搜索，看看搜索结果里有没有出现不是你自己发布的内容，比如很多被黑的网站，搜索引擎会收录大量赌博色情类的页面，这些都是非常明显的被黑信号，如果发现这种情况，基本可以确定网站已经被黑，不需要再花时间犹豫了。

用第三方安全工具做全面自动化检测

除了官方的站长工具，还有很多第三方的网站安全平台可以做网站被黑检测，这些工具大部分都提供免费的基础检测服务，足够普通站长用了。你只需要输入自己的网站域名，就能一键检测出网站是否存在挂马、黑链、后门、webshell这些常见的被黑问题，有的还会给你出具详细的检测报告，告诉你问题出在哪里，该怎么修复，对新手非常友好。不过要提醒大家，选择第三方工具尽量选口碑好的大平台，不要随便找不知名的小工具，有的小工具本身就带病毒，反而会给你的网站带来新的风险，另外也不要随便给不知名工具开放你的网站后台权限，避免攻击者通过工具拿到你的权限，导致二次被黑。

检测数据库有没有被篡改注入恶意内容

很多攻击者入侵网站后，不光会修改网站的源码文件，还会往数据库里注入恶意内容，比如批量在文章里加入黑链，或者修改管理员信息，留下后门账号方便后续再次入侵。所以做完文件层面的检测之后，还要去数据库里看看有没有异常。你可以登录数据库管理工具，比如常见的phpMyAdmin，然后查看你的文章表、用户表，看看有没有不是你自己添加的内容，比如陌生的管理员用户账号，或者文章内容里多出了很多陌生的外部链接。如果是用wordpress这类开源建站程序，还要检查一下options表有没有被修改，很多攻击者会在这里挂马，修改网站的配置信息，留下后门，新手很容易忽略这一点。

排查核心文件和插件主题的完整性

如果你用的是开源建站程序，比如wordpress、织梦、帝国CMS这些，超过八成的被黑都是因为插件或者主题带漏洞，攻击者利用漏洞上传了恶意代码。所以检测的时候，你可以对比核心程序的官方MD5值，看看文件是不是被篡改了，比如wordpress官方会提供每个版本核心程序的哈希值，你可以用md5sum命令在服务器上校验一下，看看本地文件和官方的哈希值是不是一致，如果不一致，说明文件已经被篡改了，肯定有问题。另外，如果你近期更新过插件或者主题，也要重点排查这些新更新的文件，看看有没有陌生的一句话木马或者加密后的php代码，很多恶意代码会藏在看起来正常的插件文件里，只要稍微仔细看就能发现异常。

检测完成后的后续处理建议

检测出网站被黑之后，不要慌，按照成熟的处理流程一步步来就能解决问题。首先要把网站的所有文件和数据库都完整备份下来，方便后续回溯问题，也防止清理过程中误删正常文件。然后清理恶意文件和恶意内容，修复存在的漏洞，比如把被篡改的核心文件替换成官方原版，删掉未知的木马后门，删除数据库里的恶意注入内容。接下来修改所有后台账号、数据库和FTP的密码，密码一定要用强密码，避免攻击者再次进入。之后再把清理后的网站重新上线，提交给搜索引擎申请解除风险标注，最后做好日常的安全防护，比如定期更新程序，关闭不必要的端口，配置好防火墙规则，定期做网站备份，避免再次被黑。

其实网站被黑也不是什么不可挽回的可怕事情，只要按照步骤一步步检测排查，就能快速找到问题所在，尽早恢复网站正常。很多新手站长之所以慌，就是因为不知道该从哪里开始检测，乱找方法反而越弄越糟。按照今天说的这几个方法，从浅到深一步步排查，大部分的被黑问题都能检测出来，如果你实在搞不定，再找专业的安全人员处理就好了，早检测早处理，能把被黑带来的损失降到最低，也能避免搜索引擎对网站做出更严重的惩罚。