2026-10-29 · 技术
挂马后急着重装，往往几天内复发。本文按取证、找入口、止损、清理、恢复、加固六步给出处理顺序，说明为什么不能先重装，以及入口通常藏在哪几处、数据库里该怎么查。
网站被挂马往往不是从首页开始的。很多站长是在搜索结果里看到自家标题变成了一串乱码，或者客户反馈点进来跳到了别的站，才发现出问题。 先明确一件事：挂马不等于服务器被完全控制，但也不能只删掉了事。处理顺序错了，通常两三天后又会复发。 第一步，先取证，别急着重装。把当前网站目录打包、导出最近七天的访问日志、记录异常文件的时间戳。这些材料决定了你能不能找到入口。重装会把这些线索一起抹掉，然后你在同一套漏洞上再被打一次。 第二步，找入口。按经验，入口集中在这几处：CMS 或插件的已知漏洞，尤其是长期不更新的主题和插件；上传目录里的可执行文件；后台弱口令；以及同服务器上另一个先被攻破的站点。访问日志里重点看 POST 请求、异常 UA、以及深夜时段的集中访问。 第三步，止损。把站点切到维护页或暂时下线，关闭上传功能，然后改掉所有相关密码：CMS 后台、数据库、FTP/SFTP、主机面板、SSH。注意是所有，包括那些你以为没人知道的老账号。 第四步，清理。用文件哈希或修改时间对比找出被改动、被新增的文件，重点看入口文件、页头页脚引入、.htaccess 与 nginx 配置、计划任务。数据库也要查：文章内容表、配置表里常被插入一段脚本或 iframe。 第五步，恢复。用入侵发生之前的干净备份恢复，这一点必须确认清楚时间点，用被感染之后的备份等于把马一起搬回来。 第六步，加固。后台路径改掉并加二次验证、CMS 与插件升级到当前版本、上传目录去掉执行权限、目录权限收紧、开启 WAF 或至少对敏感路径做访问控制，并安排每周一次的文件完整性巡检。 有一个细节值得单独说：如果服务器上跑着多个站点，一台被挂马，其余站点要一起查。攻击者常常横向翻目录，把所有能写的站点都埋一遍。 挂马的处理成本，绝大部分花在找入口和确认清干净这两件事上。想省这部分时间，平时就要把备份、日志留存和文件巡检做起来。 加速IDC 的云服务器与物理服务器支持自定义安全组与快照备份，高防产品附带 1T DDoS 清洗，适合把站点入口和回源链路一起管起来。
