第一步：先确认网站是否真的被劫持
别上来就删文件改代码，先精准判断3种最常见的劫持类型，避免瞎操作
- 浏览器劫持：换Chrome/Edge/QQ浏览器无痕模式访问，看是否正常跳转、插入广告/恶意链接
- 本地DNS劫持：电脑DNS改成公共DNS（8.8.8.8/114.114.114.114）再访问，正常就是本地问题不用改网站
- 服务器/源码劫持：以上两步不行，基本确定是服务器或ZBlog源码被篡改，继续往下操作
第二步：服务器端先做「断网+备份」操作
核心目的：切断黑客后续改回来、留底防止误删恢复
断网操作
- 云服务器（阿里云/腾讯云等）：登录控制台，找到「安全组」→「入站规则」→只留自己的IP（查IP地址：ip138.com）+22（SSH）或3389（RDP）端口放行，其他全部临时关闭
- 物理服务器：断开物理网线
备份操作
- 云服务器控制台备份快照：直接在云服务商后台做全量快照（保存3天以上
- 本地手动备份：用FTP/SFTP工具（FileZilla下载地址：https://filezilla-project.org/download.php?type=client）将整个网站目录压缩下载到本地
- 数据库备份：登录phpMyAdmin（如果被黑打不开，先确认phpMyAdmin地址是否被篡改，原默认地址是http://你的域名/phpmyadmin/）→全选数据库→导出→选择SQL格式→压缩为zip/gzip→保存
第三步：快速定位被篡改的文件/代码
查核心ZBlog文件对比工具对比核心目录
如果记得上次更新/备份的时间，用本地下载对应版本的ZBlog纯净包（下载地址：https://www.zblogcn.com/zblogphp/），解压后用Beyond Compare 4（试用版足够，下载地址：https://www.scootersoftware.com/download.php）文件夹对比功能：
- 重点对比目录：根目录、zb_system、zb_users（只对比theme/plugin以外的zb_users子目录）
- 重点对比修改时间：最近1个月内修改过的非theme/plugin/上传文件，尤其是index.php、zb_system/function/c_system_common.php、zb_users/c_option.php这些高频篡改率90%以上
查关键词查杀
用FileZilla打开服务器，进入网站根目录，下载所有index.php、.htaccess（Linux）/web.config（IIS）文件，搜索以下高频恶意关键词：
- 广告链接类：iframe、window.location.href、window.open、ad、script src=外部域名
- 后门类：eval、assert、base64_decode、gzuncompress、str_rot13、create_function、preg_replace(/e
Linux服务器也可以用SSH执行一行命令查恶意关键词（找到包含关键词的文件路径和行数）：
```
cd /你的网站根目录（比如/www/wwwroot/yourdomain.com
grep -rE "eval|assert|base64_decode|gzuncompress|str_rot13|create_function|preg_replace.\/e" --include=".php" --include=".js" --include=".html" --include=".htaccess"
```
IIS服务器可以用「D盾_web查杀工具」（Windows服务器推荐，下载地址：https://www.d99net.net/）上传到网站根目录，访问http://你的临时允许的IP/d99.php（访问后必须立刻删除），一键扫描。
第四步：彻底修复被篡改的内容
非核心被篡改文件处理
- 如果是纯净包有的文件，直接用纯净包的对应文件覆盖
- 如果是theme/plugin以外的zb_users新增文件，直接删除
- 如果是上传目录（zb_users/upload/）里的.php/.js/.html文件，先确认是不是自己上传的，不是的话直接删除
核心配置/入口文件处理
比如c_option.php（ZBlog核心配置文件，纯净包没有，是安装后生成的，千万别覆盖），如果被篡改：
- 打开本地之前备份的数据库，找到zbp_config表，把里面的配置项复制出来（注意不要复制表前缀以外的内容），覆盖服务器上被篡改的c_option.php内容
如果本地没有备份数据库里的c_option.php，可以手动恢复数据库（刚才备份的zip/gzip文件里应该有），恢复后重新登录后台，在「网站设置」里确认所有配置项
后台登录地址/管理员账号密码重置
- 重置后台地址：登录后台→「插件管理」→安装官方「后台入口」→点击「设置」→修改后台入口后缀（比如改成admin123，后缀前加/），或者手动删除zb_system/admin/login.php，下载纯净包login.php覆盖后修改文件名，比如改成log123.php，同时修改zb_system/c_system_base.php里的第11行左右的“login.php”为你修改后的文件名
- 重置管理员密码：登录phpMyAdmin→找到zbp_member表→找到你自己的管理员账号（Member_Level是5的就是超级管理员）→找到Member_Password字段，复制下面的MD5值（小写）替换进去，然后登录后台用密码123456登录，立刻修改成强密码（强密码要求：大小写字母+数字+特殊符号，长度12位以上）：
```
e10adc3949ba59abbe56e057f20f883e
```
第五步：基础安全加固，防止再次被黑
ZBlog内部加固
- 立刻更新ZBlog到最新稳定版：登录后台→「系统更新」→一键更新
- 立刻更新所有插件和主题：登录后台→「插件管理」→全选可更新插件→一键更新；「主题管理」→全选可更新主题→一键更新
- 删除所有不用的插件和主题：包括测试过没用的，立刻删除，不要留
- 开启后台二次验证：安装官方插件「二次验证」，绑定微信/邮箱
- 关闭XML-RPC接口（如果不用手机APP发文的话）：登录后台→「网站设置」→「API设置」→取消勾选「启用XML-RPC接口」
- 修改zb_users目录权限（Linux服务器）：用SSH执行一行命令：
```
cd /你的网站根目录
chmod -R 755 zb_users
chmod -R 644 zb_users/.php
chmod -R 644 zb_users/.js
chmod -R 777 zb_users/upload/
```
服务器端加固
- 修改服务器SSH/RDP端口：云服务器控制台找到「安全组」→入站规则里把22/3389改成其他端口（比如22222/33999），同时修改服务器系统里的SSH/RDP配置
- 关闭服务器不必要的端口：同上安全组，只保留80（HTTP）、443（HTTPS）、你修改后的SSH/RDP端口、自己的IP访问phpMyAdmin的端口
- 安装云服务器安全插件：比如阿里云的「云盾」、腾讯云的「主机安全」、宝塔面板的「免费版防火墙」
- 定期备份：设置云服务器每日自动快照，本地每周手动备份一次数据库和核心文件
