从检测清理到安全加固零门槛全流程网站挂马修复全套实操技术指南

第一步：立即断开对外服务 保留现场证据

这一步必须最先做，避免挂马持续扩散感染访问者或内部数据库，同时保存原始环境方便后续溯源。

• 云服务器（阿里云/腾讯云/华为云通用）：登录控制台-ECS实例列表-停止实例/安全组全端口关闭（除SSH/RDP远程管理端口）
• 虚拟主机（宝塔/景安/美橙通用）：登录主机面板-站点设置-暂停站点/绑定临时域名（仅自己可访问）
• 备份原始证据：
  • 用SSH/RDP工具（宝塔可直接用面板文件管理器压缩）整站打包保存到本地+网盘，命名格式「原站挂马YYYYMMDDHHMM.zip」
  • 云服务器同时创建快照，命名规则同上，虚拟主机若有自动快照无需额外操作

第二步：快速定位挂马文件 核心检测3种方法

不用复杂杀毒软件，优先用免费轻量工具/手动操作锁定目标，覆盖静态HTML/动态PHP/JS/CSS/图片嵌入等常见挂马场景。

方法1：手动检测常见挂马入口

挂马者通常入侵后修改核心入口、上传一句话/大马，重点查这几个位置：

• 入口文件：index.htmlindex.phpindex.jspdefault.aspxconfig.php（配置文件也可能被篡改）
• 上传目录：uploadsattachmentstempcache（检查是否有.php/.asp/.jsp伪装成.jpg/.png的文件，比如「1.php.png」）
• 隐藏文件：Linux下用ls -la查看带.开头的文件（Windows显示隐藏文件+隐藏受保护的操作系统文件）

方法2：用宝塔面板免费杀毒工具「堡塔云查杀」

针对有宝塔面板的用户，操作最快：

• 登录宝塔面板-软件商店-搜索「堡塔云查杀」-免费安装
• 点击查杀-选择全文件查杀-勾选PHP一句话/图片木马克星-开始扫描
• 扫描结束后，先查看报告确认恶意文件（避免误删配置文件），再批量删除/批量恢复原始文件（优先恢复之前备份的）

方法3：无面板Linux用「ClamAV」免费开源杀毒

无面板用户的必备工具，操作步骤如下：

1. 更新ClamAV病毒库：
   • CentOS/RHEL：yum install -y epel-release && yum install -y clamav clamav-update && freshclam
   • Ubuntu/Debian：apt-get update && apt-get install -y clamav clamav-daemon && freshclam
2. 扫描网站根目录（假设根目录是/www/wwwroot/example.com）：clamscan -r --remove /www/wwwroot/example.com（--remove参数会自动删除恶意文件，先测试不带--remove看结果再用）

第三步：彻底清理恶意代码 防止死灰复燃

杀毒工具可能漏杀嵌入在HTML/JS/CSS里的「iframe跳转」「eval加密」「base64混淆」代码，必须手动补查。

1. 批量搜索恶意代码特征

用宝塔面板的「文件搜索」或Linux命令行批量查：

• 宝塔搜索：文件管理器-搜索-选择根目录-搜索内容填以下任意特征（每次搜一个）-搜索类型选「文件内容」：
  • eval(base64_decode
  • gzinflate(base64_decode
  • assert($_POST
  • iframe src
  • document.write（重点查长串乱码后的）
• Linux命令行搜索（假设根目录同上）：
  • 搜索eval混淆：grep -r "eval(base64_decode" /www/wwwroot/example.com
  • 搜索iframe跳转：grep -r "