网站挂马是指攻击者在网站服务器文件或数据库中插入恶意脚本、木马程序，访客打开网页时会在不知情的情况下被跳转到非法页面、下载病毒或成为攻击其他网络的傀儡。这种现象不仅导致正常业务中断，还会让搜索引擎将站点拉黑，严重影响信誉与流量。要彻底解决挂马并防止被攻击，不能只做表面清理，必须建立从入侵清除到长期防护的闭环。
一、彻底清理已存在的挂马与后门
发现网站被挂马后，第一反应是匆忙删除可见的异常文件，但这往往不够。攻击者通常会留下多个后门，例如在上传目录藏一句eval的脚本，或在模板文件末尾追加加密跳转代码。建议先关闭站点访问，避免恶意代码继续危害访客，然后从备份中对比当前文件，找出所有新增和修改过的程序文件。
清理时要重点检查常见入口文件，如index.php、header.php、footer.php以及各类编辑器缓存目录。数据库也是重灾区，攻击者在文章表或配置表中插入script标签，前台渲染时就会执行。可使用如下命令在服务器内全局搜索敏感字符：
- grep -r "eval(" /wwwroot/ 查找可疑PHP执行函数
- grep -r "script" 数据库导出文件 定位入库的恶意脚本
- 检查近期修改时间异常的文件，尤其是有权限写入的upload文件夹
若没有干净备份，可借助杀毒软件扫描整个web目录，但人工复核仍不可少。清理完成后务必修改所有管理密码，包括服务器SSH、数据库、后台管理员账号，因为攻击者可能已记录这些凭证。
二、修补漏洞从源头阻断攻击
挂马只是结果，漏洞才是原因。绝大多数入侵利用的是过时CMS、未修复的插件或弱口令。以常见的内容管理系统为例，老版本存在上传过滤缺陷，攻击者可绕过限制传小马。因此，保持核心程序、主题、插件为官方最新版，是性价比最高的防护手段。
除了更新，还要收敛攻击面。关闭不必要的端口与服务，如phpmyadmin若不需外网访问应限制IP或删除。对上传功能做严格限制：仅允许指定图片类型，禁用执行权限。在nginx或apache配置中，可将如下目录设为不可解析脚本：
location ~* ^/(uploads|images)/.*.(php|jsp)$ { return 403; }
弱口令问题同样致命。很多人用admin加简单数字做密码，爆破工具几秒就能猜中。应使用大小写字母、数字、符号组合的密码，并启用登录失败锁定。对服务器而言，SSH密钥登录比密码更安全，能从机制上避免暴力破解。
三、建立日常监控与应急响应机制
彻底解决不是一次性动作，而要建立持续监控。文件完整性校验能及时发现篡改，例如通过定时任务对比核心目录哈希值，异常即告警。Web防火墙（WAF）可拦截常见注入与扫描请求，云服务商或开源方案都能部署，有效降低被攻击概率。
日志分析也不可忽视。访问日志中大量404探测、同一IP频繁POST请求，往往是攻击前兆。可写简单脚本统计异常IP并自动封禁。同时，定期离线备份是关键底线，建议每日增量、每周全量，备份存于独立服务器，避免被勒索软件一并加密。
| 防护环节 | 具体动作 | 达成效果 |
|---|---|---|
| 清理阶段 | 断站、比对备份、搜恶意代码、改密码 | 清除现存木马与后门 |
| 加固阶段 | 升级程序、限上传、关端口、强口令 | 堵住入侵路径 |
| 运维阶段 | 文件校验、WAF、日志分析、离线备 | 早发现、可恢复 |
当以上三层都落地，网站挂马概率会大幅下降。即便遇到新型攻击，也能通过备份快速还原，把损失控制在最小范围。安全是持续过程，唯有把妙招变成习惯，站点才能长期安稳运行。