怎么发现网站被挂马
通常有几种情况能发现网站被挂马：浏览器访问网站弹出安全警告、搜索引擎结果里你的网站被标记危险、用户投诉说电脑中了毒、搜索引擎收录突然大量下降。最直接的方法是用百度站长工具看有没有安全警报。
金水区一家做装修的公司，去年网站被挂马两个月老板都不知道。直到有个客户打电话说你们网站怎么浏览器报毒，才发现首页被插了一段加密的JavaScript，跳转到赌博网站。两个月时间，百度收录从300多页掉到只剩首页，损失惨重。
第一步 备份现状别急着删
发现被挂马之后，很多人的第一反应是赶紧把那段恶意代码删掉。别急。先把当前网站完整打包备份一份。这份脏的备份是你分析入侵路径的重要证据，删了就等于毁了犯罪现场。
备份完之后，用grep或者findstr搜索恶意代码特征。常见的挂马代码特征：eval后面跟base64_decode、eval后面跟gzinflate、document.write后面跟编码字符、window.location.href后面跟一个看不懂的URL。搜出来所有被感染的文件，列个清单。
第二步 清除所有恶意代码
清除的时候要注意，攻击者通常不只插一处。我处理过的一个案例，一个WordPress网站被挂马，首页PHP文件里藏了一个webshell，uploads目录下伪装了3个图片文件实际是PHP木马，主题functions.php里还插了一段定时拉取远程代码的逻辑。你要是只清了首页那段，过两天又回来了。
彻底清除的方法：把搜索出来的所有恶意代码文件全部清理，然后跟备份的干净版本做对比。用diff命令对比当前文件和备份文件，找出所有被修改过的文件。如果备份也不干净，那就只能跟程序的官方原始文件对比了。
说个技巧：find命令列出最近30天内修改过的PHP文件，刚被挂马的网站用这招特别有效。攻击者改了哪些文件一查就知道，比你一个文件一个文件翻快多了。
第三步 找到并堵住入侵入口
光清马不堵漏洞等于白干。常见的入侵入口：弱密码（后台管理员密码123456这种）、SQL注入、文件上传漏洞、使用了有漏洞的第三方插件。
管城区某企业网站被挂马，清理完之后两天又被挂了。排查发现入侵入口是后台编辑器的一个旧版上传组件，存在任意文件上传漏洞，攻击者可以直接上传PHP文件。更新了编辑器组件版本之后，问题彻底解决。
排查入侵入口的方法：看Web访问日志中被挂马文件修改时间前后几分钟的请求，找可疑的POST请求或者异常的URL路径。这些大概率就是攻击者使用的入侵手段。
第四步 修复漏洞加固安全
找到漏洞之后就要修复。SQL注入的，把拼接SQL改成预处理语句或者参数化查询。文件上传的，严格限制文件类型，检查文件头而不是只看后缀名，上传目录禁止执行PHP。弱密码的，强制密码复杂度策略，开启登录失败次数限制。
系统层面也要加固：所有密码全换一遍、数据库用户降权不给DROP权限、后台管理路径改掉、Web目录权限改成755文件644、PHP的disable_functions禁用掉exec system eval这些危险函数。
再装一个WAF也就是Web应用防火墙，可以是软件层面的比如ModSecurity，也可以用云WAF。WAF能拦截绝大多数常见攻击，相当于给网站穿了一件防弹衣。
第五步 恢复收录和信任
清理干净之后，去百度站长工具和Google Search Console提交重新审核申请。百度一般3到7天审核通过，审核通过后危险标记会取消。但被挂马期间丢失的收录和排名不会自动恢复，需要重新提交URL、更新sitemap、持续发布优质内容引导重新收录。
整个过程可能需要1到3个月才能恢复到被黑之前的水平。所以别等被黑了才做安全防护，提前花几百块做个安全加固，省的是后面几个月的流量损失和客户信任崩塌。说白了，网站安全就跟买车险一样，不出事你觉得白花钱，出了事你庆幸买了。