网站被黑挂马不知道怎么办？图解步骤教你彻底排查与修复

网站被黑挂马，不是小事，是生死攸关的危机。你可能正在盯着后台登录页的异常页面，或者发现首页弹出不明广告，甚至用户数据被篡改。这种情况下，图解步骤就成了你的救命稻草。别慌，这篇文章从安徽独立站长的真实案例出发，帮你一步步排查、修复、防御，避免损失扩大。

需求分析：网站被黑挂马，你可能遇到哪些情况？

在安徽地区，很多独立站长都遇到过网站被黑的问题，尤其是使用开源建站系统的站点，如WordPress、DedeCMS等。以下是几种常见的被黑场景：

首页跳转到非法网站：用户打开你的网站，页面瞬间跳转到其他广告页面，或者弹出大量弹窗。
后台密码被改：你发现无法登录后台，甚至不知道密码被修改。
网站内容被篡改：你发现文章、图片、链接被替换，甚至出现非法内容。
服务器资源异常消耗：CPU、内存、带宽使用异常高，服务器响应变慢。

这些问题背后，往往是一些黑产通过漏洞入侵了你的网站，挂马或植入木马。图解步骤的目的是帮你快速锁定问题根源，并修复它。

环境准备：检查服务器和代码环境

在开始排查之前，你需要准备好以下几项工具和环境，确保你具备足够的条件来诊断和修复问题：

SSH连接工具（如Xshell、FinalShell、PuTTY等）：用于连接服务器。
网站备份：如果你没有备份，可能需要从服务器日志或数据库还原。
防火墙或安全插件：如Wordfence（WordPress）、安全狗（PHP）等。
代码编辑器（如VS Code、Sublime Text）：用于查看和修改代码。
在线安全扫描工具：如 Sucuri、Wappalyzer、在线漏洞扫描器。

注意：如果你使用的是阿里云、腾讯云、华为云等云平台，建议先查看云平台自带的安全日志，这些记录可能比服务器日志更完整。

核心步骤：排查网站被黑挂马的全过程

步骤一：检查网站访问日志和访问记录

网站被黑后，第一件事就是查看访问日志，看看有没有异常的IP访问记录，或者异常的请求行为。

查看Nginx访问日志

如果你用的是Nginx服务器，可以查看/var/log/nginx/access.log文件：

tail -100 /var/log/nginx/access.log

提示：如果你用的是Apache服务器，访问日志在/var/log/apache2/access.log，使用tail命令查看最新100条日志。

注意：如果发现大量来自国外IP的异常访问（如185.181.x.x、178.238.x.x等），这些可能是黑产IP，建议添加iptables规则禁止访问。

使用工具分析访问日志

你也可以使用goaccess或awstats这样的工具分析访问日志，快速发现异常：

sudo apt-get install goaccess
goaccess /var/log/nginx/access.log --log-format='%h %^[%d:%t %^] "%r" %s %b "%R" "%u"'

提示：这条命令是分析Nginx日志的标准格式，可以根据你服务器的实际日志格式进行调整。

步骤二：检查服务器文件是否被篡改

黑产往往会通过漏洞植入木马，这些木马可能藏在服务器的文件中，尤其是网站根目录下的index.php、.htaccess、wp-config.php、.user.ini等文件。

检查PHP文件中是否有异常代码

例如，在WordPress网站中，你可以运行以下命令查找包含“eval”、“base64”等关键词的文件：

find /var/www/html -type f -name "*.php" -exec grep -l "eval" {} \;

注意：eval语句通常用于执行动态代码，被黑网站中常见于木马代码，一旦发现应立即删除并排查来源。

使用工具检测文件完整性

你可以使用find命令找出修改时间异常的文件：

find /var/www/html -type f -mtime -1

提示：-mtime -1 表示查找过去24小时内被修改的文件，若发现非你操作的文件，极有可能是被入侵的证据。

代码/配置示例：修复被篡改的文件

修复被篡改的index.php

假设你发现index.php中包含以下代码：

eval(base64_decode('...'));

解决办法：删除这段代码，并恢复原文件内容。

你可以从备份中恢复，或者手动重写文件：

<?php
/*** WordPress核心文件*/
define('ABSPATH', dirname(__FILE__).'/');
require_once(ABSPATH.'wp-settings.php');
?>

提示：如果你没有备份，可以从GitHub上的官方WordPress仓库获取最新版本，进行对比和恢复。

检查并修复.htaccess文件

.htaccess文件是Apache服务器的配置文件，常被黑产用于重写规则、跳转页面。你可以运行以下命令检查：

cat /var/www/html/.htaccess

注意：如果发现类似下面的代码，立即删除：

RewriteEngine On
RewriteRule ^(.*)$ http://malicious-site.com [R=301,L]

修复方案：清空或替换为以下代码：

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>

提示：这段代码是WordPress默认的重写规则，适用于正常站点运行。

常见报错与处理方案

报错1：网站无法访问，提示500错误

原因：可能是文件权限设置错误，或者PHP文件中包含语法错误。

解决方法：

检查文件权限：

find /var/www/html -type d -exec chmod 755 {} \;
find /var/www/html -type f -exec chmod 644 {} \;

检查PHP语法错误，使用php -l命令：
```
php -l /var/www/html/index.php
```

报错2：网站被黑后跳转异常页面

原因：可能是.htaccess、index.php、wp-config.php等文件被篡改。
解决方法：
- 重置.htaccess为默认内容。
- 修复index.php或wp-config.php文件，必要时从官方源码中恢复。
- 检查数据库中的wp_options表，查看siteurl和home字段是否被修改。