网站安全必修课，如何定期自查网站是否被挂马

在数字化运营时代,网站被挂马（植入恶意代码）是常见的安全威胁，恶意代码可能窃取用户数据、植入钓鱼页面、甚至导致网站被搜索引擎拉黑，本文将为你梳理一套可执行的定期检查方案，帮助你尽早发现异常。

为什么需要定期检查？

挂马行为往往隐蔽,攻击者可能只在特定页面、特定时间或特定用户环境下触发恶意代码，等到用户投诉或搜索引擎警告时，损失可能已造成，定期检查的核心目标是在“潜伏期”发现异常。

检查频率建议

• 基础检查：每日或每两日一次（耗时约5分钟）
• 深度扫描：每周一次（耗时约15-30分钟）
• 重大更新后：立即执行一次全量检查

具体检查方法

文件完整性对比（最有效的方法）

原理：记录网站核心文件（如index.php、.htaccess、配置文件）的哈希值，定期比对。

操作步骤：

• 使用工具如 md5deep或 sha256deep生成一次“基准快照”
• 定期重新计算,与基准比对
• 发现新增文件、修改过的文件即为可疑

快捷命令示例（Linux服务器）：

find /var/www/html -type f -name "*.php" -exec md5sum {} \; > /tmp/current_hashes.txtdiff /tmp/current_hashes.txt /tmp/baseline_hashes.txt

关键文件内容扫描

重点检查：

• index.php、wp-config.php（WordPress）、config.php
• .htaccess文件（看有没有奇怪的RewriteRule指向外部域名）
• 模板文件（如header.php、footer.php）

寻找特征：

• Base64编码的长字符串（如 eval(base64_decode(...))）
• 加密/混淆的JavaScript代码
• 文件中出现 iframe、document.write指向陌生域名
• 文件名类似 x.php、php等无意义命名的文件

使用专业扫描工具

推荐工具：

• 在线扫描：Sucuri SiteCheck（免费版可以扫描公开URL）
• 服务器端：ClamAV（开源杀毒，可扫描Web目录）
• CMS专用：WordPress用户可用 Wordfence 或 iThemes Security 插件

操作方式：

• 每周运行一次 ClamAV：clamscan -r /var/www/html
• 将Sucuri等在线工具的检测结果截图留存

检查数据库内容

挂马代码可能藏在数据库的字段中（尤其是CMS的wp_posts表）。

检查点：

• 搜索<script>、<iframe>、eval(等关键词
• 留意数据库表中是否有异常的“文章”或“页面”，内容为空但包含恶意代码

SQL示例（MySQL）：

SELECT * FROM wp_posts WHERE post_content LIKE '%<script%' OR post_content LIKE '%<iframe%';

监控异常行为

技术手段：

• 文件修改监控：使用 auditd（Linux）或 Tripwire记录文件变更
• 访问日志分析：检查access.log中是否有以下特征：
  • 大量对 wp-admin/admin-ajax.php的非法请求
  • URL中出现 eval、base64等关键词
  • 发起大量POST请求到不存在的路径

简易脚本示例（检查最近1000条日志）：

tail -1000 /var/log/apache2/access.log | grep -i "eval\|base64\|<script"

发现被挂马后的应急步骤

1. 立即断网：暂停网站访问，或设置403页面
2. 备份现场：完整备份网站文件和数据库，保留证据
3. 替换所有文件：从官方渠道重新下载CMS源码，用干净版本覆盖（不要只删除可疑文件）
4. 修改所有密码：数据库、FTP、管理员账号
5. 检查服务器配置：确认没有漏洞（如文件上传、SQL注入、弱口令）

写在最后

定期检查不是“一次设定，万事大吉”，攻击手法在演变，检查脚本也需要同步更新，如果你管理的是企业级网站，建议部署Web应用防火墙（WAF）并开启实时文件监控，对于个人或小型站点，坚持每周手动检查一次，已足以覆盖绝大多数风险场景。

最关键的提示：永远不要在已确认被挂马的网站上进行“原地修复”——恶意文件可能比你想象的更多，全量覆盖才是最快最彻底的方式。