企业网站被黑挂马怎么办？实战案例教你用网站目录爬行排查隐患

网站被黑挂马不知道怎么办？我去年接手一个客户的企业官网，刚上线两个月就发现首页跳转到钓鱼网站，搜索引擎收录也莫名其妙被清空了。排查了好几天才发现，对方是通过网站目录爬行技术，找到了后台管理入口并植入了恶意代码。今天我就用这个真实案例，带你们一步步掌握网站目录爬行的操作方法和排查技巧。

概念速懂：网站目录爬行到底是什么？

网站目录爬行，简单来说就是通过程序自动遍历网站的每一个目录和文件，模拟浏览器行为访问网页内容。搜索引擎的爬虫就是通过这种方式抓取网页内容并建立索引的，但网站目录爬行在黑产手里就变成了攻击工具。

黑产常用的目录爬行方式包括：

很多企业网站没有做目录权限控制或配置不合理，就容易成为攻击目标。我建议在服务器配置文件（比如 .htaccess）中限制对敏感目录的访问权限，比如：

# 限制访问 wp-admin 目录
<FilesMatch "wp-admin">Order Deny,AllowDeny from all
</FilesMatch>

如果你是开发人员，想要测试网站是否容易被爬行攻击，或者想做安全加固，需要选择合适的工具。市面上主流的爬虫工具有：

工具名称	特点	适用场景
Scrapy	强大的爬虫框架，支持自定义爬虫逻辑	网站开发人员做测试
DirBuster	快速扫描目录和文件，支持多线程	企业安全人员做漏洞扫描
Nikto	检测服务器配置漏洞和常见攻击路径	安全测试
Burp Suite Pro	付费工具，功能全面，适合渗透测试	安全团队
GitHub开源爬虫库（如 `python-requests`、`BeautifulSoup`）	免费且灵活，适合自定义爬虫逻辑	开发者自研工具

我推荐新手从 GitHub 上找一些开源爬虫项目，比如 dirsearch，它是一款功能强大的目录扫描工具，支持多种扫描模式，比如暴力破解、字典攻击、排除特定文件等。

我之前做安全检测时，常用的是 DirBuster 工具。以下是详细操作流程：

你可以在 GitHub 上下载项目，或者通过包管理器安装。例如在 Linux 上：

git clone https://github.com/maurosoria/dirsearch.git
cd dirsearch
pip install -r requirements.txt

命令格式如下：

python3 dirsearch.py -u https://example.com -e php,txt,config -t 50

DirBuster 会输出如下信息：

根据扫描结果，你应当：

很多企业主和开发人员都低估了网站目录爬行的风险，原因包括：

比如，某个客户的企业官网使用的是 WordPress，但是 /wp-config.php 这个文件没有做权限控制，被黑产扫描到后，直接下载了数据库配置信息。这类问题在中小型网站中非常常见。

如果你在使用 CMS 系统，比如 WordPress、Shopify、Joomla 等，一定要检查默认目录结构，防止暴露敏感信息。

预防网站目录爬行攻击，需要从技术、流程、安全三方面入手：

限制目录访问权限：在服务器配置中，使用 .htaccess 或 Nginx 的权限控制功能，限制对 /admin/、/wp-admin/ 等目录的访问。
删除敏感文件：如非必要，不要在网站目录下保留 /wp-config.php、/config.php 等文件。
设置防火墙规则：使用 ModSecurity、Cloudflare WAF 等工具，限制对网站目录的非法访问。
加密数据库连接文件：不要将数据库密码明文写在文件中，改用环境变量或加密方式。