网站被挂马怎么排查？从告警到清除四步走

浏览器提示"该网站可能包含恶意软件"，或者访客反映打开就弹下载，基本可以确定是网站挂马了。这时候乱删文件反而会把程序弄坏，排查方法按四步走，一两天内能处理干净。

一、**步：确认挂马的范围

先弄清三件事：哪些页面被植入，植入的是跳转脚本、暗链还是文件上传后门，搜索引擎有没有给出安全告警。用站长平台的抓取诊断看搜索引擎眼里的页面内容，再用无痕浏览器访问核对，范围确定了才好动手。

二、第二步：找到植入点

挂马入口集中在三个位置。一是模板和上传目录，重点查最近修改日期异常的文件；二是后台，看有没有陌生管理员账号和登录日志里的陌生IP；三是老程序漏洞，用被攻破版本号去对公开漏洞库。文件比对工具能大幅提速，把当前文件和官方原始包做差异比对，多出来的文件一目了然。

三、第三步：清除和加固

删除植入代码和陌生文件，修改全部口令，包括后台、FTP和数据库。然后补漏洞：升级程序版本、删掉不用的插件和上传目录禁执行权限。做完再全站扫一遍确认没有残留。

四、四步动作一览

五、第四步：向搜索引擎申诉

清除干净后在站长平台提交安全复审，附上处理说明。申诉通过通常要几天，期间保持站点稳定别再改版。顺带把站内表单和邮件链路测一遍，有些挂马会劫持询盘跳转，收不到询盘的排查方法之前写过一篇 target="_blank"，正好用得上。

六、处理完之后

挂马说明防线有缺口，把被利用的那个洞补上只是及格。按防攻击的五道防线把口令、备份和监控补齐，才是这次事故真正的收获。