网站挂马案例：3个迹象别当成小广告

页面上凭空多出一串陌生外链，第一反应往往是模板出毛病了，或者想着等下次改版顺手删掉。先别急。这类东西十有八九不是主题自带的，而是有人从外面塞进来的。这篇就围绕网站挂马案例3个迹象别当成小广告聊几句，因为我自己真踩过这个坑：当年把一段黑链当成模板的广告代码，放了小半个月才反应过来，中间还安慰自己「可能是主题作者加的推广」。

网站挂马案例3个迹象别当成小广告，先分清广告位和后门

正规广告位有个特点——后台能找到开关，代码里能找到明确来源，删掉之后不会自己长回来。挂马塞进来的东西正好相反：后台翻遍了没有对应模块，删了过两天又出现，甚至同一个位置的内容都会变。这个区别很土，但特别好用。还有一种更隐蔽的，代码本身在，只是被 display:none 藏起来，前台看不见，爬虫看得见，所以排名掉不掉先不说，站点的信任度是实打实在往下走。

迹象一：页脚、侧栏、友链里冒出陌生链接

瞄一眼页脚和侧栏，尤其是友链那一块。黑链的锚文本往往很生硬，要么是跟你行业八竿子打不着的词，要么是一串看不懂的字符；点过去落在一个陌生域名上，页面也做得敷衍。有些做得细的会把这个区块藏起来，只在特定 UA 下输出，比如只在搜索引擎爬虫来访时才吐出来。查起来也简单，浏览器里看源码，搜一下 display:none 和 visibility:hidden，看看被藏起来的区块里都是些什么东西。别嫌麻烦，这一步能省后面很多事。

迹象二：手机端自己跳走，电脑上打开却好好的

这个现象特别容易被误判成运营商劫持，或者以为手机浏览器装了什么乱七八糟的插件。判断方法：换个网络、换个浏览器、找台别人的手机试。如果只有从搜索结果点进来的流量会跳，直接输域名进去反而正常，那基本就是站内有按来源判断的跳转代码，常见于被改过的公共 js、首页文件或者某个被塞进来的「统计脚本」里。跳过去的站点五花八门，有的做博彩，有的做下载，共同点是内容跟你毫无关系，跳完还得让你退回去。

迹象三：文件修改时间和你的操作对不上

登录面板看文件列表，按修改时间排一下。你自己最近没动过模板，核心目录里却有一堆文件是前几天刚被改的，这就很值得警惕了。更明显的是多出陌生文件——名字起得像缓存、像图片、像日志，后缀却是 .php。Linux 主机上可以跑一句 find 大概过一遍，比如 find ./ -name “*.php” -mtime -7，把最近七天动过的 php 文件列出来；具体命令和路径以你主机的实际环境为准，别直接照抄。看完记得把名单存一份，后面清理和对比都用得上。

日志和快照，两个常被忽略的旁证

面板里的访问日志别急着清。搜索一下 POST 请求集中在哪个文件、哪个 IP 反复在试探后台路径，往往能顺着摸到入口。另一个是快照，如果你习惯定期打快照，把现在的文件和上一份对一下，差异清单出来，被改过的地方一目了然。前提是快照本身没被一起改掉，所以快照别只留一份，也别跟主站放在同一个存储里。

虚拟主机共享环境，为什么更容易中招

用虚拟主机的朋友要格外留神。同一台物理机上可能塞着不少站点，隔壁哪个站程序老了、插件带后门，被攻破之后在同个环境里横向翻一翻并不稀奇。加上不少人图省事，目录权限直接开到最大，后台密码还是那几个老组合，程序版本也停在几年前。具体怎么隔离、有没有额外防护，各家服务商的策略不一样，以官方页面和公告说明为准。能自己做的，是别把权限开到 777，后台密码换复杂点，程序该升就升。

确认中招之后，先别急着按删除键

很多人第一反应是把可疑文件全删了，这个顺序不太对。先把现场留一份：打包网站文件和数据库下载到本地或离线存储，别留在同一台主机上。然后改密码，后台、面板、FTP、数据库一个都别落下。接着找入口——挂马多数时候不止一个后门，你看到的那处往往只是露出水面的部分。清理完再更新程序、主题和插件，尤其是那种来路不明、作者早就不更新的。搜索引擎那边怎么处理、安全检测多久生效，以各平台官方说明为准，别信「提交就秒恢复」这种话。

防回去的几件小事

备份留一份离线的，别让备份和被黑的站点站在同一台机器上。后台加个二次验证，哪怕只是多一道验证码。插件和主题只从正规渠道下，破解版省的那点钱后面容易加倍还回去。首页文件做个校验，隔三差五比对一下，改动了自己能第一时间知道。还有日志，别手一抖清空，出事的时候那玩意儿比什么都有用。

这类事情最麻烦的地方不在技术难度，而在于发现得太晚。一条藏在页脚的黑链，可能已经挂了一个月，你还在想是不是模板又抽风了。有空翻翻自己站的页脚和源码，比对一下最近动过的文件，花不了几分钟，比事后收拾强。