网站被挂马怎么查？六个实用检测方法帮你揪出恶意代码

📍 WDQWDWQD987AAAAA:216.73.216.62
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /7b99182b2a16.html
📄

网站被挂马后，访客点击页面就可能被重定向到赌博、诈骗或病毒下载站，轻则导致流量流失，重则让搜索引擎将你的站点标记为危险网站。要避免这种局面，关键在于尽早发现植入的恶意代码。下面这套检测思路，适合站长定期自查，也能帮助运维人员在出现异常时快速定位问题。

1. 先做一次云端扫描：利用在线检测平台摸底

不熟悉服务器命令的站长，可以先借助在线安全检测工具做一次快速体检。这类平台会模拟真实用户访问你的网址，并在云端分析页面行为、外链指向和文件特征。

常用的平台包括Google Safe Browsing、Sucuri SiteCheck、VirusTotal的网页扫码功能。使用时输入完整的站点地址，比如带https的首页地址，几秒后即可看到检测结论。如果报告中出现“恶意软件”“钓鱼页面”或“可疑重定向”等标签，说明站点大概率已被植入恶意脚本。

需要留意的是：云端工具依赖已知的病毒特征库，对经过深度混淆的代码或新出现的攻击变种往往无能为力。它适合充当排查工作的起点，却不能作为最终结论。若扫描报告没问题，但网站仍出现异常弹窗或跳转，必须继续往下查。

2. 人工查看页面源代码与服务器响应头

许多挂马代码会伪装成正常的JavaScript文件，藏在页面源码的角落里。通过浏览器开发者工具或命令行工具，能直接看到这些不速之客。

避坑建议：攻击者常用eval()、document.write()和unescape()这类函数执行加密字符串。看到函数后跟着一长串乱码或十六进制字符，大概率就是恶意代码。此时不要尝试在本地直接运行或复制到浏览器执行，以免误触发感染。

3. 比对文件哈希值：让被篡改的文件无处遁形

挂马必然会对服务器文件动手术。只要手头有一份干净环境的文件“指纹”记录，就能迅速对比出哪些文件被动过手脚。文件指纹通常用MD5或SHA256算法生成。

  1. 先从网站备份中提取关键目录（如站点根目录、插件目录、模板目录）下所有文件的哈希值，保存为清单文件。
  2. 在服务器上对同一批目录重新计算哈希值，并把结果与清单逐一比对。
  3. 找出哈希值不一致的文件后，使用diff命令对比文件内容，查看新增了哪些代码。

实际案例：攻击者偏爱修改index.php、.htaccess、wp-config.php以及主题目录下的PHP文件。如果你最近没有做过更新，却发现这些文件在凌晨两三点被修改，基本可以断定已被入侵。建议给重要文件设置只读权限，降低被篡改风险。

4. 深入数据库：排查隐藏在字段里的后门

有些挂马并不修改文件，而是通过SQL注入把恶意代码塞进数据库字段。这在WordPress等动态站点中尤为常见，攻击者会把后门脚本写入文章表或站点配置表里。文件系统看起来一切正常，但网页输出时依然会执行恶意代码。

连接数据库后，执行类似 SELECT * FROM wp_posts WHERE post_content LIKE '%eval%' 的查询，检查文章内容里是否夹带加密脚本。同时记得查看options表，搜索含有“backdoor”“shell”或明显base64编码的条目。发现可疑记录后，先备份数据再清理，并对相应字段进行转义处理。

防范要点：日常开发中坚持使用参数化查询（Prepared Statement），避免拼接SQL语句，能从源头减少注入漏洞。此外，定期对比数据库备份，也能更快发现异常新增的记录。

5. 部署安全插件或云防火墙：用自动化规则拦截攻击

对于使用常见CMS（内容管理系统）的站点，安装专业安全插件能明显提升防御能力。这类插件通常提供文件完整性监控、登录保护、恶意IP封禁等功能，可自动阻断常见的扫描和注入行为。

若站点业务较重，建议接入云WAF（Web应用防火墙）。WAF能在大规模攻击到来时，先于源站拦截恶意流量，并支持自定义规则匹配可疑的URL特征。不少云服务商提供免费额度，适合中小型站点使用。

注意：安全插件本身也会成为攻击目标，务必保持软件版本最新，同时设置强密码和双因素认证。使用WAF后仍需保留源站的原始访问日志，以便在需要时回溯完整的攻击路径。

6. 查看访问日志：从异常请求中识别攻击痕迹

网站被挂马前，攻击者往往会先进行漏洞探测或扫描。服务器访问日志里会留下清晰的痕迹，包括高频的404错误、大量携带怪异参数的请求，以及来自同一IP或同一网段的连续尝试。

使用grep命令可以快速筛选异常行为。例如查找近期状态码为404的请求数量，或者搜索日志中是否存在“union select”“../”等典型的注入探测字符串。若发现某个IP在短时间内发起成百上千次相似请求，应将其加入黑名单，并检查该IP是否已成功触发了某个文件写入。

判断标准：正常访客不会在几秒内请求几十个不存在的页面，也不会频繁提交奇怪的表单参数。发现可疑IP后，先在防火墙层面拦截，再结合文件修改时间来缩小攻击者的操作范围。

7. 常见问题

7.1 在线扫描显示正常，但网站仍会跳转广告，是什么原因？

这类情况通常指向三种可能：云端扫描的缓存数据尚未更新、恶意脚本由浏览器端插件触发，或者恶意代码藏在数据库动态内容中。建议清空网站缓存后重新扫描，同时排查页面源码和数据库字段，重点关注带重定向逻辑的脚本。

7.2 清除挂马代码后，没过多久又被黑了，是怎么回事？

反复被黑说明攻击者留下的后门没有被彻底清除。除了删除可见的恶意代码，还需要检查服务器上是否存在未知的系统账户、定时任务（crontab）里是否有可疑脚本，以及是否有对外开放的高危端口。有条件的情况下，建议重置所有后台账号密码，并升级到最新的程序版本。

7.3 没有技术基础，能自己完成网站查毒吗？

借助在线扫描工具、浏览器开发者工具和安全插件，非技术人员也能完成大部分初步排查工作。但面对文件级比对和数据库审查时，建议寻求开发人员或运维工程师协助。无论如何，养成定期备份和更新网站程序的好习惯，能大幅降低被挂马后带来的损失。

8. 总结

网站挂马检测没有一劳永逸的捷径，通常需要云端扫描、源码检查、文件比对、数据审查等手段相互配合。建议每月做一次例行健康检查，平时多留意页面加载速度、流量来源和搜索引擎收录状态的异常波动。如果站点已经被挂马，先隔离被感染文件，再逐层排查后门，最后修复漏洞并修改所有密码。把检测融入日常运营流程，才能真正守住网站的安全底线。

图1 图2
nginx