网站被黑检测

去年秋天，网站一个做独立站的被黑朋友半夜给我发消息：“首页被换成土耳其语了，底下还挂了个黑底红字的检测logo。”他以为只是网站模板出错，打开FTP一看，被黑根目录多出三个没见过的检测PHP文件，时间戳全是网站凌晨两点零七分。这就是被黑典型的网站被黑——不是服务器宕机，不是检测流量异常，是网站有人拿到了写入权限，把页面当成了自己的被黑公告板。

很多人第一反应是检测查访问日志。这没错，网站但日志往往已经被清理过。被黑攻击者不傻，检测拿到shell之后第一件事通常是删掉自己的访问记录，或者把日志文件权限改成000。我见过一个案例，站长发现网站被挂马，去翻Nginx的access.log，发现当天只有正常蜘蛛抓取，连一个可疑POST请求都没有。后来在/tmp目录下找到一个叫“.ICE-unix”的隐藏文件夹，里面藏着webshell。攻击者根本没走Web入口，是从Redis未授权访问进去的，写了个计划任务，定时从远程拉取恶意脚本。

检测网站被黑，先看文件时间戳。不是看单个文件，是看整个目录的修改时间分布。正常运营的站点，文件修改时间应该集中在几次更新窗口。如果wp-content目录下突然出现一批修改时间在凌晨3点到5点之间的文件，而且文件名是随机字符串，基本可以确定有问题。有个小技巧：用find /var/www -type f -mtime -1 -ls列出最近24小时修改过的文件，比逐个目录翻快得多。

数据库也不能放过。WordPress站点被黑，十有八九会在wp_options表里插入一条记录，option_name叫“_transient_”开头，值是base64编码的代码。或者wp_posts里多出一篇草稿，内容是一段eval。直接搜SELECT * FROM wp_options WHERE option_value LIKE '%eval%'，比看后台文章列表有效。我遇到过最隐蔽的，是把恶意代码拆成三段，分别存在三个不同的option里，用的时候再拼接。这种就得靠对比数据库快照，没有快照就只能凭经验看哪些option的autoload值是“yes”但内容明显不像系统生成的。

流量层面也有信号。网站被黑后如果被用来做黑帽SEO，搜索引擎会先发现。Google Search Console里突然出现大量陌生关键词，或者站点地图里多出几千个不存在的URL。还有一种情况是首页标题被改，但你自己浏览器访问又是正常的——攻击者做了User-Agent判断，只对搜索引擎蜘蛛返回被黑版本。检测方法很简单：用curl指定User-Agent为Googlebot去抓首页，看返回的HTML里有没有菠菜、博彩之类的词。

说个真实细节。有次帮人排查，所有文件都正常，数据库也干净，但网站就是会跳转到赌博页面。最后发现是.htaccess里加了一行RewriteCond %{ HTTP_REFERER} (baidu|google)，只对来自搜索引擎的访客做302跳转。这种叫“条件跳转后门”，不看.htaccess根本查不出来。所以检测的时候，.htaccess、nginx.conf、甚至PHP的auto_prepend_file配置都要过一遍。

发现被黑之后，别急着删文件。先打包一份完整的网站快照，包括数据库导出和文件目录的tar包。攻击者可能留了多个后门，删掉一个还有另一个。我习惯用grep -r "eval(" /var/www --include="*.php"先扫一遍，再用grep -r "base64_decode"扫一遍。这两个命令能揪出大部分低级webshell。高级的用preg_replace的/e修饰符，或者干脆藏在图片的EXIF里，那就得靠文件完整性监控工具了。

最后说一个容易被忽略的点：被黑不一定有异常文件。有些攻击是纯内存马，利用PHP-FPM的特性，不落地文件，重启就没了。这种检测起来最麻烦，只能看进程的加载模块，或者用strace跟踪PHP-FPM的系统调用。普通站长搞不定，但至少知道有这回事——下次遇到“网站被黑但找不到后门”的情况，别怀疑自己，可能真的没文件。