宝塔网站挂马别慌，资深运营分享彻底清理的实操干货

别让小挂马搞崩你的长期心血

你有没有发现？自己用宝塔搭建的网站，要么是个小众博客，要么是个便民小站，突然某天打开就跳不知名博彩页面，后台还冒出来些不明文件，连网站后台密码都可能被动过？这十有八九是中了挂马。我之前帮一个淘宝客站长清挂马，他说花300多找所谓“安全团队”，结果半个月又中招，原来那伙人只删了表面木马，藏在数据库的恶意代码没动，才反复踩坑。

先摸清楚：挂马为啥找上你的宝塔站

说白了就是你的站漏了空子！就像你租的小店，窗户没装防盗栏，小偷顺着缝就钻——要么是宝塔上传目录开了777最高权限，随便就能传木马；要么是宝塔防火墙没开，爬虫扫到漏洞就插代码；要么是网站程序用了旧版本，被人抓了漏洞直接留后门。别侥幸，我接触过的挂马案例，90%以上都是小站站长嫌麻烦，没开基础安全设置导致的。

找挂马痕迹：别只删表面文件

很多人清挂马就是看见可疑文件就删，结果过两天又中，这就是没揪干净“窝点”。挂马藏得深着呢，有的夹在图片注释里，有的混在备份文件里，还有的改了宝塔的伪静态规则。我一般这么找：

• 用宝塔文件管理器搜关键词：iframe、script、eval，这些都是挂马常用的代码片段
• 开宝塔的“显示隐藏文件”，看有没有.开头的恶意脚本（比如.hack.php）
• 如果会用SSH，就用命令扫全站： ``` 搜索/wwwroot下所有PHP文件的恶意脚本 grep -r "eval(" /wwwroot --include=".php" ```

之前清一个Typecho博客，就是光删了根目录的木马，后来查数据库才发现，用户表的“备注”字段被插了跳转代码，才导致每篇文章都挂马，差点被搜索引擎封站。

彻底清理：要狠到连根拔

别留任何侥幸，清完之后要保证网站能恢复正常，还要不影响原有数据：

• 如果有靠谱的干净备份，直接用备份覆盖全站文件，省得一个个找，记得备份是挂马之前的，别用出事之后的备份
• 清理数据库：用宝塔的phpMyAdmin搜所有表的“http://”、“博彩”这类恶意关键词，删掉对应字段里的代码，别直接删表，不然数据没了哭都来不及
• 杀后门：检查宝塔网站目录，有没有名字奇怪的文件（比如1.php、2.php这种无意义命名），还有宝塔伪静态规则里的跳转语句，删掉就行

补漏洞：别让挂马再回来

清完就完了？当然不是！我那个淘宝客朋友后来又犯了个错，嫌上传目录改权限麻烦，又开回777，结果三天后又中了。要做这几件事，把漏洞堵死：

• 开宝塔面板防火墙，给网站后台加IP白名单，只让自己常用的电脑IP登后台，这个是最有效最省钱的办法
• 改宝塔面板默认端口，别用8888，换个没人常用的，减少被暴力扫描的概率
• 定期更宝塔面板和网站的CMS程序，比如WordPress、Typecho，别用旧版本，官方会补安全漏洞
• 权限设对：网站文件权限设644，目录755，上传目录别用777，哪怕要写，用775也比777安全

说白了，宝塔挂马不是啥洪水猛兽，但也绝对不能大意——我见过太多小站站长因为嫌操作麻烦，最后流量没了还被搜索引擎降权，得不偿失。按我说的步骤来，真的能彻底清干净，别嫌麻烦，比起出事之后删搜索引擎链接，这点操作太值了。