PHPCMS网站被挂木马不用慌！超实用彻底清理修复全步骤干货指南

老伙计们我真的是踩过phpcms木马的大坑才敢来唠的，去年手里三个做企业站的phpcms程序同时中招，就像好好开的小卖部半夜被小偷撬了门，不仅偷东西还偷偷配了N把钥匙藏在你家各个角落，前脚你把小偷赶出去后脚人家又进来霍霍，我前前后后折腾了快72小时，查了无数资料踩了N个坑，终于摸透了phpcms木马文件彻底清理方法，今天全给你们掏出来，保证看完就能上手，再也不用给黑心运维交几百块的清理费！

第一步：先给你的网站“做核酸”，把露头的木马先揪出来

咱清理木马就像抓小偷，首先得先封场，别让小偷趁你清理的时候再跑进来，也别让他往外递脏东西祸害访客。首先要把站点根目录的index首页文件先替换成临时维护页，同时把服务器的80端口先暂时限制只有你自己的IP能访问，这步是基础，别嫌麻烦，我第一次清理的时候就是没封站，清到一半木马又自动下载了三个新的后门，差点给我整崩溃。

封完场就可以开始扫毒了，就像给全场人员做核酸，先把阳的拎出来。优先推荐大家用官方免费版的D盾、护卫神这两个工具，别用破解版啊！我之前图方便下了个破解版D盾，毒没清干净还给我塞了个挖矿脚本，纯纯是引狼入室。要是你不想装软件，也可以用我自己攒的简易扫描脚本，放在站点根目录运行就行：

``` isFile() && in_array($file->getExtension(),['php','js','html'])){ $content = file_get_contents($file->getPathname()); foreach($feature as $word){ // 重点排查上传目录，正常上传目录不会有执行代码 if(strpos($content,$word)!==false && strpos($file->getPathname(),'uploadfile')!==false){ echo '疑似木马文件：'.$file->getPathname().'
'; } } } } ?> ```

这个脚本就像手持测温枪，先把最可疑的文件先筛出来，这里给你们划个重点：所有uploadfile（PHPCMS默认上传目录）下出现的.php、.asp、.aspx后缀的文件，100%是木马，直接删别犹豫。这步做完，你已经把一半左右明面上的木马清掉了，但别急，phpcms木马文件彻底清理方法才刚开头，藏在暗处的后门才是最难搞的。

第二步：掏墙缝找暗门，把藏起来的后门全薅出来

很多小伙伴清完上传目录的木马就以为完事了，结果过两天又被挂，就是因为木马已经在你核心目录里藏了后门，就像小偷给你家窗户撬了个缝、门口脚垫底下藏了备用钥匙，你关了正门人家照样能进来。

这步最稳妥的方法就是做文件比对，先去PHPCMS官方下载对应你版本的原版安装包，把除了uploadfile、config、template这三个自定义目录之外的所有文件，挨个做哈希值比对，哈希值不一样的直接替换成原版文件就行。要是你不会比对哈希也没事，直接把原版的非自定义目录全覆盖就行，哦对了！覆盖之前一定要先备份全站文件，重要的事说三遍：备份！备份！备份！别到时候把自己改了半个月的模板搞没了来找我哭，我可不背这个锅。

还有几个重灾区要单独排查，别漏了：

• phpcms/libs/functions/目录下的全局函数文件，很多木马会在这里插一句话后门，伪装成正常函数藏着
• api/目录下的闲置接口文件，很多漏洞都是从闲置接口进来的，没用的接口直接删掉
• cache/缓存目录，别以为缓存目录没问题，很多木马伪装成缓存文件藏在这里，cache目录下所有不是以.cache为后缀、文件大小超过100k的php文件，直接删掉准没错

咱就说做这步就像给家里大扫除，沙发缝、床底下、衣柜顶都得掏一遍，别嫌麻烦，就像咱种庄稼，你不把草根子拔干净，过两天又长一地，到时候收不了粮食吃亏的还是自己。这步做完，你离掌握phpcms木马文件彻底清理方法就差最后临门一脚了。

第三步：焊死大门堵漏洞，再也不让木马进来串门

我见过太多人清完木马就不管了，结果过半个月又中招，为啥？因为你家大门的锁还是坏的啊！小偷这次被赶出去了下次还能撬锁进来。PHPCMS被挂马90%都是因为老版本的已知漏洞，比如上传漏洞、SQL注入漏洞，所以清完木马第一件事就是补漏洞。

首先要打全安全补丁，不管你用的是PHPCMS V9还是更老的版本，先去官方把所有发布的安全补丁全打上，找不到补丁的直接把核心文件替换成最新版的对应文件。然后还要做几个安全配置，相当于给你家换个防盗锁再加个监控：

• 改后台默认地址，别用/admin.php，改成个只有你自己知道的名字，比如改成/wokanjiannile.php，小偷想爆破后台都找不到地址
• 把uploadfile目录的PHP执行权限全关了，让这个目录下的文件就算是木马也跑不起来，相当于你给小偷的钥匙孔灌了502，他有钥匙也拧不开
• 所有后台账号密码全换掉，复杂度拉满，大小写加数字加特殊符号，别用什么123456、admin123这种傻子都能猜到的密码
• 一定要定期备份数据库和全站文件，最好一周备一次，存在本地或者独立云存储里，真要是中招了直接还原，比你自己清理快10倍

我当时就是没关upload目录的执行权限，清完木马第二天又被挂，气得我差点砸键盘，后来按上面的方法堵完漏洞，快一年了这几个站都没再出过问题。说真的，phpcms木马文件彻底清理方法的核心从来不是“清”，而是“清+堵”，只清不堵都是白忙活。

最后给你们唠两句掏心窝子的实在话

我知道很多小伙伴用PHPCMS都是做的老站，懒得换程序，毕竟换程序还要做迁移、做适配、做优化太麻烦，但是你也不能放着不管对吧？就像你家老房子住了十几年，也得定期换锁修窗户吧？不然小偷不来才怪。

也别相信网上那种什么一键清理木马的工具，我试过好几个，要么清不干净，要么给你顺便装个别的后门，还不如自己动手按我给的步骤来，慢是慢点，但踏实啊。只要你严格按我给的phpcms木马文件彻底清理方法走，最多3小时就能把站弄的干干净净，之后只要每周扫一次毒、定时打补丁，基本不会再出问题。

要是你清理的时候遇到啥搞不定的问题，也可以在评论区留言，我看到了就回，毕竟我踩过的坑比你走过的路都多，能帮一把是一把，大家出来做站都不容易，能省点钱省点精力比啥都强对吧？