网站流量异常，怎么检测是不是被黑了？

做站时间久了，多多少少都会碰到网站出异常的情况，比如流量莫名暴涨暴跌、多出很多陌生页面、被搜索引擎标记危险网站，甚至后台登不进去，很多站长第一反应就是「我的网站是不是被黑了？」。但很多新手站长不知道怎么检测确认，瞎折腾半天反而没找到问题，甚至越弄越糟。今天我就把多年做站长积累的网站被黑检测方法整理出来，一步步来，新手也能跟着操作，不用慌。

先看前端异常，初步判断是否被黑

拿到需要检测的网站，第一步先看前端有没有明显异常，不用急着直接登后台。你可以先正常访问网站首页，翻三到五个内页，看看有没有陌生的弹窗、色情赌博类违规广告、莫名跳转的外部链接，尤其是跳到不知名的垃圾网站。还要检查页面标题和描述有没有被篡改，比如原本是「个人美食博客」突然变成了非法彩票推荐这类内容。另外建议用浏览器隐私模式访问，避免本地缓存干扰判断，如果一打开就自动弹出陌生页面，大概率是被人挂了黑页或者恶意跳转代码。

检查后台异常，确认权限是否被攻破

前端看完没发现问题，接下来就要进网站后台排查，看看有没有新增陌生管理员账户、陌生用户，有没有你没上传过的陌生文件、陌生文章页面。很多时候黑客拿到权限后，会新增一个隐蔽的管理员账户留后门，方便下次入侵。你要重点检查用户列表里有没有邮箱不是你注册的账户，或者注册时间很奇怪的陌生账户，哪怕是普通订阅用户也要留意，有些黑客会把后门藏在低权限用户里。另外还要看已安装的插件、主题，有没有你没主动安装过的陌生插件。

借助搜索引擎做初步特征检测

搜索引擎其实早就帮站长做了初步筛查，你可以直接用`site`指令搜索你的域名，看看搜索结果里有没有你没发布过的陌生页面，比如很多被黑的网站会多出一堆赌博、色情类的垃圾页面，这些都会被搜索引擎收录。另外还要看百度搜索结果里你的网站有没有标注「风险提示」「该网站可能已被黑客入侵」这类标记，如果有，说明搜索引擎已经检测到异常了。你还可以去百度搜索资源平台查看站点的安全检测报告，百度会主动告知网站有没有恶意代码。

全站文件比对检测，找出被篡改文件

如果前面几步都没发现问题，但你还是怀疑网站被黑，可以批量检测网站文件，最常用的方法就是比对文件哈希值，如果你是用WordPress建站，可以从WordPress官方下载对应版本的核心文件哈希，比对你当前网站的核心文件，就能快速找出有没有被篡改的文件。另外，你可以登录服务器，用`diff`命令比对本地备份和当前网站目录的文件，找出新增或者被修改的陌生文件。很多黑客会把后门文件藏在wp-content/uploads、wp-includes这类不容易被注意到的目录里，文件名通常会起得跟正常文件很像，要留意修改时间异常，也就是你最近没动过但刚被修改过的文件。

专项检测隐藏黑链，这是被黑重灾区

挂黑链是网站被黑最常见的情况之一，黑客不会破坏你的原有网站，只是偷偷加一堆导出的垃圾链接，用来给他们的违规网站做排名。你可以查看页面源代码，尤其是页脚、侧边栏这些位置，看看有没有你没加过的隐藏链接，很多黑链会用跟背景一样的颜色，肉眼看不到，只能看源代码找。另外也可以用一些免费的线上工具批量检测全站的导出链接，找出不属于你的陌生链接，这些大概率就是黑链。还要特别留意主题的functions.php文件，很多黑客会把黑链代码加在这里，很难被发现。

用免费工具做线上全量检测

现在有不少靠谱的免费网站安全检测工具，可以帮你快速扫描出问题，比如国内的百度安全中心、360网站安全检测，都有免费的在线扫描功能，直接输入域名就能检测有没有恶意代码、黑链、网页挂马这些问题。还有一款叫VirusTotal的工具，也可以上传可疑文件检测，或者直接扫描整站安全性。不过要注意，线上工具只是辅助排查，不能完全依赖，有些深度隐藏的后门不一定能扫出来，还是要结合人工排查才稳妥。

检查服务器层面的异常入侵痕迹

网站被黑很多时候根源是服务器权限被攻破了，所以除了网站文件，还要检查服务器本身的异常。比如查看服务器的登录日志，看看有没有陌生IP登录过你的服务器，尤其是root管理员账户的登录记录，如果有陌生IP反复登录，说明你的服务器密码可能已经泄露了。还要查看系统进程，看看有没有陌生的异常进程占用大量带宽或者CPU，很多挖矿木马会偷偷跑在你的服务器上，占用大量资源拖慢网站速度。另外还要检查端口开放情况，看看有没有打开陌生的后门端口，方便黑客进出。

网站被黑不可怕，可怕的是没及时发现，等到搜索引擎拔毛降权就晚了，处理起来难度会大很多。所以站长平时要养成定期做网站被黑检测的习惯，尤其是碰到流量突然异常波动、搜索引擎出安全提示的时候，一定要按上面的步骤一步步排查，先从容易检查的地方入手，慢慢深入，大部分问题都能快速找出来。另外平时一定要做好网站文件和数据库的定期备份，就算真的被黑了，也能快速恢复，把损失降到最低。