phpcms木马查杀方法，零技术基础也能直接用

你是不是刚把phpcms搭的企业站弄好，今早一打开就跳赌博网站？后台登进去发现内容全被改了，找外包查杀张嘴就要两千？是不是之前自己删过木马，没过两天又复发，根本不知道根在哪？今天这篇全是可落地的实操步骤，不用你懂复杂代码，照着一步步来就行，杀完还能防复发，一分钱不用花。

一、查杀前必做的2项准备（少一步都容易翻车）

1. 先给全站做完整备份

你先去服务器后台，把整个web目录打包。云服务器直接点快照按钮，1分钟就能搞定。所有操作都在备份里试，别直接改原文件。

避坑提醒：很多人上来就乱删文件，删错了整个站直接崩。提前备份好，出问题随时能回滚。

2. 把站点切到维护模式

你在根目录放个静态的index.html，写“站点维护中，请稍后访问”。静态文件优先级比php高，用户打开就不会跳违规站。

也能避免木马趁你查杀的时候，再篡改新的页面内容。

二、核心查杀3步走，99%的木马都能清干净

1. 先扫异常新增的php文件

你先回忆下上次更新网站的时间，比如上个月10号更的。把web目录里所有修改时间在10号之后的php文件全拉出来。

正常phpcms的系统文件都是旧的，新冒出来的大多是木马。尤其是名字乱码的，比如x7as2f.php这种，直接删就行。

重点排查目录：uploadfile、templets、data这些可读写目录，都是木马重灾区。我之前帮客户查的一个木马，就藏在uploadfile的图片子目录里，名字叫admin88x.php，一删就恢复正常了。

2. 对比核心文件的篡改痕迹

你去phpcms官方，下载对应版本的原安装包。用Beyond Compare工具，把原安装包和你服务器的文件做对比。

不一样的地方会直接标红，要是标红的代码里有eval、base64_decode这种内容，百分百是被植入了木马。

比如常见的一句话木马长这样：

``` ```

碰到这种直接用原版文件覆盖就行，不用纠结改哪部分。

3. 清掉后台残留的后门账号

能登后台的话，直接去“会员管理-管理员列表”。看有没有你没建过的陌生账号，比如admin2、test这种，直接删掉。

然后把你自己的管理员密码改了，要12位以上，带字母、数字、符号。别再用123456、admin123这种弱密码，黑客一猜就中。

要是后台登不进去，你直接去数据库的phpcms_admin表，把陌生的账号行删掉就行。

三、杀完做2步，避免木马再次复发

1. 关闭无用的目录执行权限

uploadfile这些用来存上传文件的目录，只给只读权限就行，不让执行php文件。

用nginx的话，直接在配置里加这段：

``` location ~ ^/uploadfile/.\.(php|php5)$ { deny all; } ```

用apache的话就改.htaccess文件，禁掉这个目录的php执行权限。你要是不用前台上传功能，直接把上传入口关了更稳妥。

2. 开个文件修改监控

嫌麻烦的话直接用云服务器的免费安全工具，开webshell检测就行。有新增或者修改的php文件，直接给你发报警短信。

你要是会点代码，写个10行的小脚本，每10分钟扫一遍全站php文件的修改时间，有异常就给你发邮件，基本就能防住大部分二次入侵。

今天说的这些步骤，你照着做，最多1小时就能搞定，完全不用花冤枉钱找别人弄。

现在就去把你那出问题的站先做个备份，跟着一步步来就行。要是碰到特殊的文件拿不准，直接搜文件名，基本都能找到对应的解决方法。