结论先行：网站被挂马后，先断开对外入口、保留现场，再定位植入点清理，最后加固与复查；直接删掉可疑代码，通常几周内会再出现。

挂马的表现形式不少：首页被替换、搜索结果标题里冒出无关词、手机打开被跳到别的站。处理顺序比处理速度更影响结果。

本文要点

• 第一步是隔离，不是删除；
• 日志与文件清单要在清理前导出；
• 清理后必须更换口令，并检查同一主机的其他站点。

一、三个容易误判的迹象

误判的代价是时间。按性能问题去排查，可能几天后才意识到脚本是被人加进去的，而这段时间日志还在被覆盖。

二、处置顺序：隔离、取证、清理、加固

• 隔离：切换到维护页或限制访问来源，先阻断继续被利用。
• 取证：导出访问日志、文件清单和数据库快照，记录改动时间点。
• 清理：按时间点比对文件，还原被改动的部分，升级程序与插件。
• 加固：更换管理员与数据库口令，检查同一主机上的其他站点。

三、只删代码，为什么常常复发

被改动的往往不止一个文件。攻击者习惯在多个目录留下入口，清理掉一处，其余仍在；原来的弱口令没有换，重新进来只是时间问题。

四、恢复访问前要确认的三件事

入口已封堵、口令已更换、备份已更新，再把网站放回公网。恢复后一周内每天看一次日志，确认没有新的试探成功记录。

术语与定义

挂马

指在网页或脚本中植入恶意代码，使访客被引导到其他站点、被下载文件或被记录信息。

植入点

攻击者写入恶意内容的具体文件或数据库字段，是清理时真正要定位和复原的位置。

常见问题

Q：网站被挂马，需要报警吗？

A：看损失情况。涉及客户信息泄露、资金损失或持续攻击的，建议保留证据向属地网安部门反映；只是页面被改，可先自行处置。

Q：搜索结果提示不安全，怎么去掉？

A：先完成清理与加固，再到站长平台提交复核申请。提示通常在复核通过后消失，期间保持页面可正常访问。

Q：要不要换一台服务器？

A：不必作为第一步。先判断问题出在程序、口令还是主机环境；换服务器只是搬家，配置上的漏洞会一起搬过去。

延伸阅读

• 行业新闻栏目
• 企业网站建设服务
• 全网营销策划

需要挂马清理与加固支持，可致电 13913177687 说明情况。