网站被黑出款异常怎么办？一步步排查解决

做带交易功能、出款功能的网站，比如电商、内容付费、网赚类站点，最怕碰到的就是网站被黑后出款异常。用户提交出款申请后，要么提示失败，要么钱不到账，要么直接跳转到错误页面，不仅影响用户信任，还可能导致不必要的资金损失。很多站长碰到这种情况就慌了，不知道是网站被黑导致的还是支付接口本身出了问题，今天我就把实操多年的排查和解决步骤整理出来，大家可以照着一步步来。

先确认是不是网站被黑引发的出款异常

出款异常不一定都是网站被黑导致的，也有可能是支付接口维护、商户账户被冻结这些原因，所以第一步要先做基础区分。你可以先测试一笔小额出款，看看是所有出款都失败，还是只有部分出款失败？出款失败的提示是支付接口返回的，还是网站自己报错？如果网站之前明确有被入侵的痕迹，比如首页被篡改、有陌生黑链，那大概率就是网站被黑后篡改了出款相关的配置或数据，接下来就可以按照下面的步骤一步步排查了。

检查出款相关的核心程序有没有被篡改

黑客入侵网站后，最喜欢修改出款接口、支付逻辑这类核心文件，把出款请求转到自己的账户上，这也是最常见的出款异常原因。你可以先把网站根目录里出款相关的程序文件下载下来，和官网原始程序文件比对MD5校验值，或者直接用diff命令对比两个文件的内容。如果是WordPress这类建站程序，重点检查wp-content/plugins目录下的支付插件文件，还有主题目录里的functions.php文件，很多黑客会在这里插入恶意代码，拦截出款请求。比对之后如果发现内容不一致，就能确定是程序被篡改了，直接用原始干净的文件覆盖就可以解决这部分问题。

核对数据库里的出款相关数据是否正常

除了修改程序文件，黑客还经常直接篡改数据库里的出款数据，比如修改用户的可提现余额、更改订单的出款状态、插入虚假的出款申请导致系统出款通道堵塞。你需要登录phpMyAdmin或者你的数据库管理工具，打开订单表、用户资金表，抽查最近十笔出款异常的订单数据，看看订单金额、用户余额、出款状态这些字段和实际业务是否一致，有没有被篡改的痕迹。如果发现很多订单的数据不对，说明数据库已经被黑客篡改了，你需要从最近的一次干净备份里恢复数据，或者手动修正异常数据。

排查有没有出款请求被恶意劫持

还有一种情况是黑客没有改你的程序和数据，但是加了恶意代码劫持出款请求，比如在网站前端插入了陌生的JS代码，当用户点击出款按钮的时候，把出款地址跳转到黑客的钓鱼页面，或者拦截请求后不发给支付接口。这种情况你需要查看网站前端页面的源码，搜索有没有陌生的外链JS，或者内嵌的陌生代码，重点找出款按钮、支付弹窗相关的代码。另外还要检查服务器的web配置，比如nginx的.conf文件、apache的.htaccess文件，看看有没有把出款相关的请求转发到陌生IP的规则，如果有，立马删掉异常规则，恢复原来的配置。

检查支付接口的密钥有没有泄露被盗用

很多网站被黑后，黑客会拿到你存在配置文件里的支付商户密钥、API密钥，有了这些密钥，黑客就可以在你的支付接口里操作出款，甚至篡改出款地址，导致正规用户的出款请求被拦截。你需要登录你的支付服务商后台，查看最近一周的API调用记录，有没有陌生IP的调用，有没有异常的出款申请。如果发现密钥已经泄露，立马在支付服务商后台重新生成密钥，然后更新你网站配置文件里的密钥信息，同时把原来的密钥作废，避免黑客继续利用。

核对支付服务商的出款日志找问题

如果你自己排查完程序、数据库、配置都没有发现异常，那就可以联系你的支付服务商，让他们导出最近一周的出款请求日志，和你这边网站生成的出款日志做对比。如果你的网站已经发出了出款请求，但是支付服务商那边没有收到，说明出款请求在传输过程中被拦截了，大概率是服务器被入侵后加了代理劫持流量，你需要检查服务器的DNS配置、hosts文件有没有被修改，有没有被安装恶意代理程序，全盘扫描服务器查杀木马。如果支付服务商那边已经收到出款请求，并且已经成功出款，那就是你网站这边的数据没有同步，只需要手动同步数据更新状态就可以了。

清理残留后门和异常权限配置

就算找到了出款异常的直接原因，也要记得全盘扫描清理黑客留下的后门，避免黑客再次入侵。你可以用ClamAV这类开源杀毒工具扫描服务器整个网站目录，也可以用建站面板自带的木马扫描功能，找出隐藏的后门文件后直接删除。还要检查服务器上有没有新增的陌生管理员账号，有没有开启了不该开的端口，修改了SSH登录配置，把所有异常权限都关掉，把陌生账号删掉，避免黑客留下后门后续继续入侵。

网站被黑引发出款异常后，第一时间要先临时关闭出款功能，避免黑客继续盗款，造成更多的资金损失，然后再一步步排查。排查解决完所有问题后，一定要记得给网站打补丁，修改所有后台和服务器的密码，做好日常备份，避免再次被黑客入侵。出款功能恢复后，最好先测试几笔小额出款，确认一切正常之后再开放给用户使用，把影响降到最低。