织梦CMS网站木马快速查杀实操全流程技术指南

前置准备：必须先备份再操作

查杀木马前必须备份网站所有文件和数据库，否则杀错文件或误删数据无法恢复，分两步操作：

1. 备份网站文件

根据服务器环境选择对应操作：

• linux服务器：执行命令tar -zcvf dede_backup_files.tar.gz /你的织梦根目录路径（示例：/var/www/html/dede，替换为实际路径）
• 虚拟主机：登录ftp，将织梦根目录下的所有文件（包括隐藏文件）下载到本地电脑

2. 备份数据库

通过phpMyadmin（虚拟主机）或服务器命令（linux）导出：

• phpMyadmin操作：登录后台，选中织梦数据库，点击【导出】，选择导出格式为【SQL】，点击执行，将生成的sql文件下载到本地
• linux服务器：执行命令mysqldump -u数据库用户名 -p数据库密码 织梦数据库名 > dede_backup_db.sql，按提示输入密码后生成备份文件

工具自动查杀（零门槛，推荐小白使用）

使用织梦官方安全扫描工具快速定位木马，步骤：

• 下载工具：访问https://download.dedecms.com/tools/dede_safe_scan.zip，解压后得到dede_safe_scan文件夹
• 部署工具：将解压后的文件夹直接复制到织梦根目录，不要修改文件夹名称
• 执行扫描：在浏览器访问http://你的域名/dede_safe_scan/index.php，等待页面加载完成，点击【开始扫描】按钮
• 处理风险：扫描结果会列出所有风险项，点击【立即处理】，工具会自动删除已知木马文件（如果有），无法自动处理的会提示手动操作

手动深度排查（工具查杀后仍有残留时使用）

工具无法处理的可疑文件需手动排查，重点检查3类文件：

1. 核心配置文件common.inc.php

用支持utf-8编码的文本编辑器（如Notepad++、Sublime Text）打开织梦根目录下的include/common.inc.php，搜索关键词eval、base64_decode：

• 如果发现可疑代码（如@eval(base64_decode('xxx'))），直接删除该段代码
• 备份原有配置的数据库连接信息（如DB_HOST、DB_USER、DB_PWD），从官方最新织梦安装包的include目录中复制标准common.inc.php文件覆盖，再粘贴回备份的数据库连接信息

2. 根目录与uploads目录的php文件

织梦默认不会在uploads（附件上传目录）生成php脚本，若发现该目录下有.php格式文件，无论文件名如何，直接删除；根目录下的index.php如果有非官方代码，用官方最新安装包的index.php覆盖。

3. 临时与缓存目录

检查data、cache目录，若发现后缀为.php的文件或陌生压缩包，直接删除，这些目录仅用于存储缓存和临时数据，不应有可执行脚本。

查杀后的验证与防护

查杀完成后需验证网站正常，并设置防护措施防止再次入侵：

1. 网站功能验证

访问前台页面，测试文章发布、留言、后台登录等核心功能，确认无异常弹窗、空白页面或未知广告。

2. 安全加固设置

完成以下操作防止再次被挂马：

• 修改织梦后台登录密码，设置为16位以上包含字母、数字、符号的复杂密码
• 关闭uploads目录的php执行权限，分环境配置：

对于nginx服务器，在站点配置文件中加入：

location ~ \.(php|php5)$ {
deny all;
}

对于apache服务器，在织梦根目录下的uploads文件夹中新建.htaccess文件，内容为：

deny from all

• 每月用织梦官方安全扫描工具执行一次全量扫描，及时发现风险。