你被黑了网站挂马还不知道？图解步骤教你快速排查网站好处

网站被黑挂马不知道怎么办？网站挂马就像你家门被撬，不及时处理就可能被盗、被勒索，甚至被用来攻击别人。我之前帮四川一家企业排查网站被黑的问题，发现他们连网站后台密码都没改过，更别提基础安全防护了。图解步骤不是为了吓你，而是教你如何一步步排查、修复、加固你的网站。

需求分析：网站被黑后，你该做哪些事？

一旦发现网站被黑或挂马，首要任务就是隔离污染源，恢复网站正常运行，然后排查漏洞，加固防护。这四个步骤缺一不可。如果你不清楚从哪下手，别慌，下面就是你该做的图解步骤。

1. 立即隔离网站

网站被黑后，第一反应是隔离。你可以通过服务器的防火墙临时封掉网站的IP，或者在服务器中暂时关闭网站服务，防止进一步扩散。

小提示： 如果你的网站是用 WordPress 做的，可以登录后台，把所有插件和主题暂时禁用，看看网站能否恢复正常。

2. 查看日志，定位入侵点

网站被黑一般都会留下痕迹，最常见的是在服务器日志中看到异常访问记录。你可以查看网站的访问日志（access.log）和错误日志（error.log），看看是否有可疑的IP地址或访问路径。

例如，你可以在 Linux 服务器中用以下命令查看访问日志：

tail -n 100 /var/log/nginx/access.log

如果你看到像这样的记录：

123.45.67.89 - - [10/Oct/2023:08:45:12 +0800] "GET /wp-admin/admin-ajax.php HTTP/1.1" 200 5422

那就要警惕了，123.45.67.89 这个IP可能是攻击者。你可以通过 Cloudflare 文档 中提供的 IP 风险查询工具，判断这个IP是否是恶意IP。

3. 检查文件修改时间

黑进网站的黑客通常会上传恶意文件，这些文件的修改时间往往与你最后一次更新网站的时间不一致。你可以通过以下命令查看网站根目录下最近修改的文件：

find /path/to/your/site -type f -mtime -1

如果发现一些你没见过的文件，比如 .htaccess、wp-config.php 等，那就要重点检查了。

4. 检查数据库

数据库是黑客最喜欢攻击的地方。你可以登录到你的数据库管理工具，查看是否有异常的用户记录，比如多出一个名为 hacker 的用户，或者有不熟悉的表名和字段名。

如果你用的是 MySQL，可以运行以下 SQL 语句：

SELECT user, host FROM mysql.user;

如果发现不熟悉的用户，就赶紧修改密码，甚至删除这个用户。

环境准备：你需要什么工具？

在动手排查网站被黑问题之前，你需要准备好以下几个工具和环境：

1. 服务器访问权限

你需要有服务器的 root 权限，才能查看日志、修改配置、安装软件等。如果你没有权限，得联系你的主机提供商或运维人员。

2. 日志分析工具

你可以用一些简单的日志分析工具，比如 GoAccess、LogParser 或 Kibana。它们可以帮助你快速定位异常访问。

3. 网站安全工具

你可以使用一些网站安全检测工具，比如 Cloudflare、Sucuri 或 Wordfence（如果你用 WordPress 的话）。这些工具可以帮你检测网站是否被黑，是否挂马，是否被注入代码等。

4. 安全组配置

如果你的服务器是用阿里云、腾讯云或者 AWS，记得配置好安全组规则，只开放必须的端口，比如 80、443（HTTP/HTTPS）、22（SSH）等。

核心步骤：一步步排查网站挂马

1. 重装网站文件

如果你发现网站文件中存在可疑内容，最彻底的解决方法就是重装网站文件，把所有内容替换为干净的版本。比如你用的是 WordPress，就从官网下载最新版本的 WordPress，并重新上传。

注意事项： 重装前务必备份数据库，避免误删数据。

2. 更新所有插件和主题

如果你的网站用了插件或主题，黑客往往通过这些第三方组件来入侵。你必须更新所有插件和主题到最新版本，或者卸载不常用的插件。

3. 修改数据库密码

数据库密码是网站的“钥匙”，如果被黑客获取，整个网站就完蛋了。建议你定期更换数据库密码，并使用强密码（至少 12 位，包含大小写字母、数字和符号）。

推荐工具： 如果你用的是 MySQL，可以使用 mysql_secure_installation 工具来重置密码。

4. 修复服务器漏洞

服务器漏洞是黑客攻击的突破口，定期更新系统和软件，关闭不必要的服务，配置防火墙，可以有效防止攻击。

比如在 Ubuntu 系统中，可以运行以下命令更新软件包：

sudo apt update && sudo apt upgrade

代码/配置示例：如何加固网站安全配置

1. 配置 .htaccess 文件（WordPress）

你可以在网站根目录下创建 .htaccess 文件，通过设置 .htaccess 的内容来阻止恶意请求。

# 禁止执行PHP文件
<FilesMatch "\.php$">Order Deny,AllowDeny from all
</FilesMatch># 限制访问路径
RewriteEngine On
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^https?://(www\.)?yourdomain\.com [NC]
RewriteRule \.(jpg|jpeg|png|gif|css|js|ico|xml)$ - [F,NC,L]

这段配置可以防止他人通过 Referer 头盗用你网站的资源文件，比如图片、JS、CSS 等。

2. 配置 Nginx 防止 SQL 注入

如果你用的是 Nginx 服务器，可以在配置文件中设置 SQL 注入防护规则。比如：

location ~* \.(php|php5|phtml|jsp|asp|aspx|cfm|cfml|shtml|xml|txt)$ {if ($request_method !~ ^(GET|POST|HEAD)$ ) {return 403;}if ($query_string ~* "union.*select.*from") {return 403;}if ($query_string ~* "insert.*into") {return 403;}if ($query_string ~* "drop.*table") {return 403;}if ($query_string ~* "delete.*from") {return 403;}
}

这段配置可以阻止常见的 SQL 注入攻击，比如 UNION SELECT、INSERT INTO、DROP TABLE 等。

注意： 配置规则要根据你的网站实际内容来调整，避免误拦截正常请求。

常见报错与解决方案

1. 500 Internal Server Error

这个错误通常是服务器配置错误或者 PHP 报错导致的。你可以检查服务器日志，看看是不是某个插件或配置文件出错。

解决方案：

• 临时关闭所有插件，看看是否恢复。
• 检查 .htaccess 文件内容，可以尝试重命名或替换为默认配置。
• 开启 PHP 错误日志，查看具体的报错信息。

// 在 wp-config.php 中添加以下代码开启错误报告
define('WP_DEBUG', true);
define('WP_DEBUG_LOG', true);
define('WP_DEBUG_DISPLAY', false);

2. 403 Forbidden

这个错误一般是权限设置问题，可能是 .htaccess 配置错误，或者是目录权限设置错误。

解决方案：

• 检查 .htaccess 文件是否有错误配置。
• 检查目录权限，确保网站运行用户有权限读写文件。
• 如果是 WordPress，可以尝试重新生成 .htaccess 文件。

小结：网站好处与安全防护

网站的好处远不止展示企业形象这么简单，它还可以提升品牌曝光、增加客户信任、促进销售转化、便于线上服务等等。但如果你的网站被黑挂马，这些好处都无从谈起。

通过 图解步骤，你可以快速排查网站安全问题，修复漏洞，加固防护。记住，安全不是一次性的动作，而是持续的过程。你可以从今天开始，用上 Cloudflare 等工具，定期检查日志，更新系统，配置防火墙，逐步提高网站的安全性。

你的网站用的什么技术栈？评论区聊聊，看看有没有可以一起交流学习的朋友。