JS恶意代码检测保姆级指南，看完再也不怕站点被黑挂马

你有没有碰到过这种糟心事？自己做的小站、博客没碰过代码，打开突然弹赌博广告，甚至跳转黄站。还有的刚攒了点流量，直接被运营商标记为危险站点封禁，访客点都点不进来。

我之前有个做宠物领养站的朋友，就栽在这上面。被人挂了恶意JS半个月才发现，流量直接掉了七成，申诉了快一个月才恢复。

今天就给你讲点实操的JS恶意代码检测方法，不用懂高深编程，看完直接就能上手，不管是自查还是清马都能用。

1 先做3个零成本快速自查，10分钟出结果

大部分普通站点的恶意JS都很浅显，不用工具就能找出来，先做这三步。

1.1 先查根目录的陌生JS文件

你自己站点的JS文件肯定有数，比如jquery.min.js、自己写的index.js对吧？

重点操作：打开FTP或者云服务器文件管理器，按修改时间排序，看最近7天有没有新增的陌生JS。尤其是那种乱码命名的，比如a2d9.js、gdmin3.js，十有八九有问题。

点开看内容，要是开头全是eval(function(p,a,c,k,e,r){...})这种加密内容，说白了就是故意打乱不让你看，直接删掉就行。

避坑提醒：别漏了查static、js、public这些专门存脚本的文件夹，很多木马会往这里藏。

1.2 查页面内嵌的JS代码

还有很多木马不单独存文件，直接插在你页面的HTML里，所有页面都生效。

重点操作：打开你网站首页，右键点“查看网页源代码”，搜“script”标签，挨个看是不是你自己加的。尤其是插在head最顶部、body最底部的陌生脚本，还有带陌生外链、暗链的，直接删掉。

要是你用的是CMS建站，记得查公共头部、底部模板，很多木马专门改公共文件，改一个所有页面都有恶意代码。

1.3 用浏览器控制台查动态加载的JS

有些恶意JS是动态加载的，你看源代码根本看不到，用控制台一查一个准。

重点操作：按F12打开控制台，点“网络”标签，刷新页面，过滤选“JS”，看有没有请求你不认识的域名的脚本。比如带博彩、色情相关拼音的，或者乱七八糟数字域名的，直接溯源删掉对应的加载代码。

2 用免费工具做深度检测，扫漏网之鱼

要是手动查没找到问题，或者你站点内容多查不过来，用这几个免费工具，深度扫一遍更稳。

2.1 用开源工具扫恶意代码特征

推荐用开源的JS-malware-scanner，完全免费不用花钱，也不会泄露你的站点代码。

操作步骤：把站点所有JS文件打包上传，或者直接输入站点地址，一键扫描。它会自动匹配已知的恶意JS特征，比如挖矿代码、窃取cookie的代码、跳转暗链的代码，扫出来直接给你标具体位置。

之前有个做电商小站的朋友，被挂了窃取用户收货地址的JS，手动查了三次没找到，用这个工具一分钟就扫出来了，藏在支付页面的内嵌JS里。

避坑提醒：别用不知名的在线检测工具，小心你的站点源码被人偷了二次卖钱。

2.2 用公共安全平台查挂马标记

要是你怕自己的站被用户举报、被浏览器标记危险，直接用大厂的免费检测工具扫。

操作：打开百度安全检测、360网站安全扫描平台，输入你的站点地址，点检测就行，1分钟出报告。有没有挂马、有没有恶意JS、有没有被拦截，全给你列得明明白白，还会给你具体的修复建议。

2.3 弄个自动监控，不用天天手动查

你总不能天天手动查站对吧？写个几行的小脚本，每天自动帮你查，有问题直接给你发提醒。

给你个现成的Python脚本，改个地址就能用：

``` import requests import hashlib 提前存好正常首页的MD5指纹 normal_md5 = "你自己生成的正常首页指纹" res = requests.get("你的站点首页地址") current_md5 = hashlib.md5(res.content).hexdigest() if current_md5 != normal_md5: 这里加个发邮件/发微信提醒的逻辑就行 print("首页代码被篡改，赶紧查！") ```

放自己的云服务器上设个定时任务，每天跑一次，比你自己记着查靠谱多了。

3 查出来恶意JS之后，怎么彻底清干净不复发

很多人删了恶意JS没两天又出现，就是没清根源，按这两步做就不会复发。

3.1 先补漏洞再清代码

你光删JS没用，得先搞清楚黑客是怎么进来的。要么是你后台密码太简单被人破解了，要么是你用的CMS、插件有漏洞。

操作：先把后台密码改成12位以上，带数字字母符号，再把所有CMS、插件更新到最新版本。要是你用的是小众的建站系统，赶紧换掉，那种系统漏洞多到数不清，专门被黑客拿来扫站挂马。

3.2 给JS文件加防护，就算被黑也跑不起来

首先改文件权限，很多人图省事把JS文件权限设成777，谁都能改，那不挂你挂谁？把所有JS文件权限改成644，只有所有者能写，其他人只能读，就算黑客拿到普通权限也改不了你的文件。

还可以加个SRI校验，说白了就是给JS文件发个独一无二的身份证，内容改了身份证就对不上，浏览器直接不让它运行。操作：搜“SRI在线生成”，上传你的JS文件拿到指纹，给script标签加个integrity属性就行，加完就算JS被篡改，也不会执行恶意代码，访客不会受影响。

今天讲的这些方法，全是我这几年帮朋友清挂马攒的实操经验，没用的半句没说。你现在要是怀疑自己的站有问题，先花10分钟做第一步的手动自查，大概率能找到问题。

要是没查到，就用免费工具扫一遍，图个安心。别等被封站、被用户举报了才着急，现在花10分钟检查，比之后花几天救站省事多了。真查出来不知道怎么处理的，留个言我看到了给你出主意。