Z-Blog网站被挂马全流程清理实操技术指南

第一步：紧急隔离受影响网站（防止扩散）

立即停止Z-Blog网站对外访问，进入服务器控制面板（如宝塔面板、Cpanel），找到网站根目录，将根目录内的index.php等入口文件临时重命名为index_bak.php，同时删除根目录下的软链接文件。操作核心：挂马内容会通过访问传播，必须先隔离入口，避免搜索引擎收录挂马链接或用户访问带马页面。

第二步：定位挂马文件与特征（核心排查）

按服务器类型选择排查方式：

• 如果使用SSH终端登录：进入网站根目录，执行以下2条命令生成异常文件列表

``` 排查大体积可疑文件（挂马常用隐藏于大文件中） find . -type f -name ".php" -size +10k -o -name ".html" -size +5k | grep -v "cache" | sort 排查带加密特征码的挂马文件（90%以上挂马含eval(base64_decode)） grep -r "eval(base64_decode" . --include=".php" --exclude-dir="cache" ```

• 如果使用虚拟主机文件管理器：直接使用搜索功能，输入关键词“eval(base64_decode”“http://远程地址”，排除缓存目录后标记结果

额外检查配置文件：打开根目录zb_config.php，搜索“http://”，确认是否有异常远程链接插入配置项，Z-Blog原始配置无额外远程链接。

第三步：清理挂马文件（无数据丢失风险）

子步骤1：删除恶意文件

将步骤二标记的挂马文件直接删除，删除前务必备份到本地，禁止删除Z-Blog核心目录（zb_system、zb_include、api）及zb_users目录（文章、用户数据存储区），仅删除搜索到的异常php、html文件。

子步骤2：恢复Z-Blog原始核心文件

下载Z-Blog官方安装包：https://www.zblogcn.com/，解压后仅复制以下目录覆盖到网站根目录，绝对不要覆盖zb_users目录：

• zb_system（核心功能目录）
• zb_include（公共文件目录）
• api（接口目录）

子步骤3：修复配置文件

打开zb_config.php，删除其中的异常代码（如插入的远程链接、无关参数），保留官方原始配置框架（替换你的数据库连接信息）： ``` ```

第四步：清理数据库挂马内容

登录数据库管理工具（phpMyAdmin、Navicat或SSH终端），找到你的Z-Blog数据库，先备份整个数据库再执行以下操作，运行以下SQL语句删除恶意插入内容： ``` 删除文章表中的挂马内容 DELETE FROM `zb_post` WHERE post_content LIKE '%eval(base64_decode%'; 删除选项表中的异常远程链接 DELETE FROM `zb_option` WHERE option_value LIKE '%http://%'; 删除异常自建表（如果有） DROP TABLE IF EXISTS `zb_malicious_table`; ``` 操作完成后，验证所有文章内容是否正常，无乱码或恶意代码。

第五步：长期防护（防止再次挂马）

按以下要求设置防护规则，避免二次被挂：

• 文件权限设置：根目录文件权限设为644，目录权限设为755，禁止将权限设为777；
• 自动更新：进入Z-Blog后台→系统设置，开启自动更新，每周到官网下载最新补丁；
• 插件规范：仅从Z-Blog官方应用中心下载插件，禁止安装来源不明的第三方插件；
• 月度扫描：每月执行一次find命令（步骤二的排查命令），检查是否有新增异常文件。