网站挂马案例，删代码之前先看这3处

网站挂马案例删代码之前先看这3处，这顺序我踩过坑才明白。很多人的第一反应是打开文件管理器，看到那段乱七八糟的加密串，选中，删除，保存，然后刷新前台——好了，页面正常了。心里还挺美。过两天再看，又挂上了。更糟的是有些站点删完之后整个页面变白，连后台都进不去，那时候才慌。

所以这篇不讲怎么查杀，那玩意各家面板的按钮长得都不一样。我只讲动手删之前，你得先确认的三件事。这三件事花不了多少时间，但能决定你这次是修好了还是把坑挖深了。

网站挂马案例删代码之前先看这3处的第一处：先备份，而且不是备份到你自己的电脑

大部分人的备份动作是：把被改的文件下载到本地，然后改。这个动作本身没错，问题在于下载下来的那个文件已经是脏的了。你拿着一个已经被塞了后门的文件做参照，后面排查的时候会一直被它带偏。

正确的顺序是，先在服务商那边做一次整站快照或者镜像，能回滚的那种。虚拟主机用户可能没有快照功能，那就把整个网站目录打包一份丢到一个跟网站无关的地方——注意是跟网站无关，别放网站根目录下面，那不叫备份，那叫给下一个攻击者送快递。

数据库也得一起备。我见过太多人只备份了文件，结果恢复的时候数据库对不上，栏目全空，用户表还在但内容没了。文件和库要同一时刻备，不然就是拼图拼不上。具体你的主机商提供什么备份方式，以服务商控制台或官方页面说明为准，反正别省这一步。

入口比代码重要：先弄明白它是从哪进来的

删代码只解决了症状。挂马这个东西是要有人放进去的，放进去的通道要是还开着，你删一百遍也没用。

常见的入口其实就那几个：后台弱口令、过期的建站程序或者插件、上传目录没做权限限制、还有 FTP 或者数据库端口暴露在公网上。这几个里面，后台上传点被利用的比例一直不低，因为很多老站的编辑器还在用很早以前那套上传逻辑。

查的时候别光看网页日志文件那一行一行的，重点看几个时间点：文件被修改的时间，后台登录成功的时间，还有异常访问量集中的那几段。这几个时间对上了，基本就能顺出来是走后台进来的还是走上传点进来的。几个时间对不上，那可能就不是从外部进来的，得看看是不是同一台机器上的其他站被拖下水了。

这一步有个笨办法但很有效：把最近有过改动的文件按时间排一遍，特别是那些平时根本不会有人动的文件。核心程序目录下的文件如果出现了近期修改时间，那基本可以确定是被人动过手脚。

别只删你眼睛能看到的那段

挂马的人不傻。明面上那段引流代码是给你看的，是吸引你注意力的。真正麻烦的是藏起来的那些。

比如图片文件里塞的代码，比如一个看起来人畜无害的 php 文件被写在某个深层目录里，比如后台某个不起眼的设置项里被塞了一段执行语句，再比如定时任务里挂了一个定时去拉东西的脚本。这些你光看首页是发现不了的。

所以删之前，先把整站文件列表拉一遍，按修改时间排序，从旧到新看一眼最后的那些。再顺手检查一下计划任务、伪静态规则、还有 index 文件的头部那几行。很多人删了首页注入，忘了看伪静态，结果访问还是被跳走。

还有一个容易被忽略的：被挂马的站往往不止一个入口。同一个虚拟主机上如果跑了几个站，一个被入侵，其他几个大概率也被翻过了。这种情况你要么挨个查，要么干脆重新部署——重装虽然麻烦，但比反复被挂省心。

删完之后，还有几件收尾的事

代码清干净只是及格线。后面这几件事不做，过段时间又得回来。

第一，把后台密码、数据库密码、FTP 密码全部换一遍，而且别用同一套。第二，把能关的端口关掉，FTP 如果不用就别开着，能上 SFTP 就上 SFTP。第三，把建站程序和插件更新到最新，很多挂马就是钻了老版本的洞。第四，加一层防护，WAF 也好，云防护也好，至少能挡住那些已经被人写进扫描器里的常见套路。

还有一点，清理完之后主动去搜索引擎那边提交一下安全问题的申诉或者重新抓取，不然搜索结果里那段讨厌的提示会挂很久。各家平台入口不同，按官方的说明走就行，别信那些号称能加急处理的第三方。

什么时候该放弃抢救

说句实在的，不是所有站都值得一行一行去删。如果出现下面这几种情况，我会建议直接重装然后从干净备份恢复。

一是找不到入侵入口，时间戳也全乱；二是核心程序文件被大范围改动，改回来的成本比重装高；三是同一台机器上多个站互相污染。这几种情况下硬修，修好也是暂时的。

重装的时候记得把数据单独导出来，导出的过程中别把老目录里的可疑文件一起带过去。一个一个站恢复，恢复一个查一个，别图快一次全上。

最后提醒一句，安全这件事没有一劳永逸。今天清干净了不代表明天没事，定期备份、定期更新、定期看一眼日志，这三件事做顺了，真出问题的时候你至少不会手忙脚乱。至于那些号称能一键彻底清除挂马的所谓工具，用之前想清楚它要的权限有多大，别把后门请进门。