网站挂马怎么清除

昨天凌晨三点，网站我盯着服务器日志里那一串陌生的挂马IP，后背发凉。清除访问记录显示，网站每隔十分钟就有一条来自保加利亚的挂马请求，路径是清除/wp-includes/images/cache.php——那文件我从来没建过。网站被挂马了，网站而且不是挂马那种粗劣的弹窗广告，是清除静默植入的挖矿脚本。这事儿不能拖，网站越拖搜索引擎的挂马警告越严重，用户访问时浏览器直接拦截，清除流量断崖式下跌。网站

清除挂马第一步，挂马别急着删文件。清除先断网，把服务器从公网摘下来，或者至少把网站目录设为只读。攻击者可能留了后门，你一边删他一边传，白费力气。我习惯用命令行直接查：find /www/wwwroot -name "*.php" -mtime -3，找出最近三天被修改过的PHP文件。挂马文件通常藏在这里，文件名五花八门，有的叫1.php，有的伪装成class-wp-hooks.php.bak，但共同特征是时间戳异常——凌晨两三点被改动，或者权限被改成777。

找到可疑文件后，先别打开看代码，直接下载到本地，用编辑器搜特征串。大多数挂马脚本都带混淆函数，比如eval(gzinflate(base64_decode(...)))，或者assert($_POST['x'])这类执行代码。我见过最阴的写法是把恶意代码塞进图片文件末尾，再用include包含进来，光看PHP文件根本发现不了。所以第二步要全盘扫一遍图片和上传目录，用grep -r "eval" /www/wwwroot暴力搜，虽然慢，但管用。

删掉恶意文件只是治标。挂马通常意味着网站存在可利用的漏洞，最常见的是旧版CMS的SQL注入，或者插件上传功能没做类型校验。我处理过一个案例，攻击者通过一个废弃的import.php文件上传了webshell，那个文件是半年前测试时留下的，压根没删除。所以清理完文件后，必须检查所有入口：后台密码改掉、数据库账号升级、禁用不用的插件和主题、删除遗留的临时脚本。这一步别偷懒，否则撑不过一周又会复发。

最后是环境层面的加固。把PHP的禁用函数列表加上exec、shell_exec、system，防止攻击者执行系统命令。给网站目录设置正确的属主和权限——通常www用户只读，只有上传目录才需要写权限。如果你用的是Nginx，加一条规则拦截\.php$请求中带base64参数的URL，能挡掉一部分自动化攻击。我自己的服务器还装了简单的文件完整性监控，inotifywait监听核心目录，一旦有文件新增或修改就邮件告警。这套折腾下来大概花三四个小时，但比第二天发现整个数据库被删要省心得多。

网站恢复访问后，记得去Google Search Console和百度站长平台提交申诉，把清理过程和时间线写清楚。搜索引擎一般会在几天内解除警告。说句实在话，挂马这事儿防不胜防，但只要你把更新、权限、监控这三件事做到位，大部分攻击者会嫌你麻烦转去挑软柿子捏。凌晨那次的教训让我学乖了——现在每个月的第一天，我都手动检查一遍服务器日志里的异常访问，比任何安全插件都靠谱。