早上打开公司网站，页面却自动跳转到博彩站点；客户打电话来说"点开你们网站全是广告弹窗"——这多半是网站被挂马了。挂马不只是页面难看，它会让域名被搜索引擎标红降权，严重时还会把访客引向带毒页面。
很多人第一反应是"删掉那个可疑文件"，但挂马是结果，漏洞才是原因——只清结果不堵原因，快则几天就会复发。下面这套流程，帮你把网站被挂马这件事一次处理干净。
一、网站被挂马有哪些典型症状？
挂马的技术形态很多，但对外表现集中在几处。出现任意一条，就应高度怀疑站点已被入侵：
- 访问自动跳转：从搜索引擎点进来的访客被跳到博彩或推广页，直接输入网址却正常——典型的流量劫持。
- 莫名弹窗广告：页面被注入脚本，打开就弹广告或浮层。
- 百度快照异常 / 被标红：快照标题摘要被改成与网站无关的推广词，或搜索结果出现"页面可能被篡改"提示。
- 页面出现隐藏外链：源码里有大量与业务无关的链接，被
display:none藏起来，访客看不见、搜索引擎能读到。 - 排名骤降、服务器异常：关键词突然掉出前几页，CPU 与带宽无端飙升，出现陌生进程。
二、5步彻底清理流程
网站被挂马怎么处理？核心原则：先保命（备份隔离）→ 还原真相（排查入口）→ 清干净（清除后门）→ 堵住门（修漏洞 + 加固）。顺序不能乱，先加固后清马会破坏线索。
第 1 步：备份隔离，保留现场
第一件事不是删文件，而是把网站与数据库做一次全量备份，并保留服务器日志。
- 网站目录与数据库做完整快照，便于回退；
- 暂不清空 Web、系统与数据库日志——被篡改的文件和日志本身就是证据；
- 必要时把站点临时切到维护页，避免继续危害访客。
第 2 步：排查入侵入口与时间线
这一步决定能否根治，要回答三个问题：从哪个入口进来、什么时候进来、留下了什么。
- 用原始程序或备份与现网文件做哈希比对，找出被改与被新增的可疑文件；
- 查日志定位入口：上传接口、后台登录、异常 POST、陌生 IP 的密集访问；
- 别漏数据库——暗链常被写进文章、评论与配置表里。
第 3 步：清除全部木马与后门
"清除"不是只删那个明显的文件，范围要覆盖全站。
- 被篡改的正常文件用官方原版覆盖，不要手工逐行删代码；
- 清理数据库中的恶意内容与注入代码；
- 排查计划任务、陌生账号、SSH 公钥等持久化后门，做一次全站复检。
第 4 步：修复漏洞，堵死入口
这是决定"会不会复发"的一步，把第 2 步找到的入口逐一修掉。
- 升级 CMS、插件、框架与中间件到安全版本；
- 修复上传校验、SQL 注入、文件包含、越权等对应漏洞；
- 改掉后台、数据库、FTP/SSH 的弱口令，收紧文件权限。
第 5 步：加固防护，防止二次入侵
清理完不代表结束，攻击者常会在一段时间后回来试探。
- 开启 WAF / 云防护，拦截注入、上传与批量扫描；
- 限制后台来源 IP，关键操作加二次验证；
- 定期扫描与日志审计，并建立离线备份，确保随时能恢复。
三、常见挂马方式与识别方法
企业网站最常中的是三招：
1. 一句话木马（WebShell）
一段几十字符的脚本，伪装成 .php 或图片放进上传目录，攻击者靠它远程执行命令、上传文件、读写数据库。识别要点：上传目录出现名字奇怪、体积很小的脚本，内容含 eval、assert 等敏感函数。
2. 暗链
在模板或数据库里插入大量指向博彩、私服等站点的链接，再用 CSS 隐藏。访客看不见、搜索引擎能读到，目的是借你的权重给黑产站点做排名。识别要点：看源码而非页面显示，重点查公共模板与文章正文。
3. JS 注入与 iframe 挂马
在公共 JS 或模板里插一段脚本，实现"搜索来路跳转"、弹窗广告，或用隐藏 iframe 把访客引向带毒页面。这类挂马往往只对特定来路生效，所以"自己测正常、客户却说有问题"是它的典型特征。
| 挂马方式 | 主要危害 | 典型藏身位置 |
|---|---|---|
| 一句话木马 / WebShell | 服务器被完全控制、数据被窃取 | 上传目录、可写目录 |
| 暗链 | 权重被劫持、被搜索引擎降权 | 模板文件、数据库内容表 |
| JS 注入 / iframe | 流量劫持、访客终端被攻击 | 公共 JS、页面头部模板 |
四、如何防止网站再次被挂马？
清理只解决一次，防护才能让它不再发生：
- 组件及时更新：CMS、插件与中间件的已知漏洞是攻击者最主要的口子，补丁发布后尽快升级。
- 后台与账号加固：强密码、限制后台 IP、开启二次验证，杜绝弱口令被爆破。
- 最小权限原则：上传目录设为不可执行，数据库账号只授予必要权限。
- 部署 WAF / 云防护：对批量扫描、注入、异常上传做实时拦截。
- 定期扫描与离线备份：配置变更告警，被篡改第一时间发现。
五、什么时候需要专业应急响应？
站点小、入口清晰、只涉及前端脚本注入，自己动手完全可行。但出现下面的情况，建议尽快找专业团队：
- 清理后反复复发：说明入口没找对，或存在未被发现的持久化后门；
- 服务器疑似被完全控制：出现陌生进程、陌生账号、异常外连；
- 被百度标红需要申诉：清理不彻底时申诉基本无法通过；
- 可能涉及数据泄露，或业务不能长时间中断、多站点同时受影响。
深度安保提供 7×24 小时网站应急响应服务，涵盖入侵痕迹分析、木马后门清除、溯源取证与系统恢复加固，并出具可用于百度申诉的处置报告。
六、常见问题 FAQ
Q1：网站被挂马后，直接删掉木马文件就可以了吗？
一般不够。挂马是结果、漏洞才是原因，只删文件不修漏洞，攻击者可以再从同一入口把马挂回来，通常几天内就会复发。
Q2：网站被挂马后百度被标红，怎么恢复？
先彻底清理木马并修复漏洞，确认站点恢复正常后，再通过百度搜索资源平台提交安全检测与申诉，通过后风险提示会取消。清理不彻底时申诉通常无法通过。
Q3：网站被挂马，我的数据会不会已经泄露？
不一定，但需要排查。挂马多以流量劫持、暗链推广为目的；若攻击者已拿到后台或数据库权限，就存在数据被读取下载的风险，涉及个人信息或交易数据时应按合规要求评估。
Q4：网站木马清理需要多久？
取决于站点规模和入侵深度。单站点、入口清晰通常数小时到 1 个工作日；若服务器权限已失守或存在多个后门，可能需要 1 至 3 个工作日。
Q5：为什么我自己清理完，过几天又被挂马了？
多因入口漏洞未修复、存在隐藏后门，或组件版本过旧持续暴露在已知漏洞下。清理必须做到入口修复、全量后门排查、防护加固三者闭环。
Q6：挂马清理时网站需要下线吗？
多数情况可以边运行边清理，建议先做快照并在业务低峰期操作，临时封禁已知恶意入口。若被植入下载型木马、可能影响访客终端，应尽快下线或挂维护页。
网站正在被挂马？我们 24 小时待命
从入侵排查、木马清除到漏洞修复与加固，一次解决。
请提供域名与现象描述，我们将第一时间给出建议。
