分享一下我網站被掛馬后我是如何處理的

babyfacer

【我不是專業人士，只是根據自己的經驗做了一個簡單的分享】
首先，你可以通過后臺查看你網站最近修改的文件和新增的文件。確定那些是你自己修改和新增的（當然，別錯把緩存目錄文件當做異常文件）。把異常的文件和官方【同版本】文件做對比

其次，如果你用的寶塔，他里邊有些防火墻或者某些軟件，是可以掃描目錄的，他掃描的結果，很多是誤報，你要人工排查。比如在某個異常的時刻（近期或者某個特殊事件）新增了一個文件，這個文件代碼有問題，甚至還有加密內容

我自己之前也出現過幾次網站被掛馬，然后百度收錄了很多異常頁面。已經收錄的頁面一般很難處理，你可以舉報那個收錄的頁面，或者后期在問題處理之后去百度資源平臺批量提交鏈接404

我使用阿里云，被掛馬后直接發短信提示我有異常文件上傳。然后我在阿里云下載了文件，然后 根據里邊代碼，把部分特征代碼片段加入寶塔的某些軟件里邊，然后去掃描。注意，被掛馬，不僅要掃描網站目錄，還要掃描其它目錄，你的服務器都被攻破了，他們會把文件復制到其它地方去

有時候你看到的異常文件是加密的，你根據加密文件的特征代碼，將加密內容解密（百度一下，很多網站就可以解密）。然后你甚至能發現更多的“特征代碼”，比如我就發現過他們的登錄地址、密碼、賬號等。這些特征代碼你都可以添加到寶塔的安全軟件里，進行掃描和攔截。

另外，之前DZ出現了一個問題，就是有人把木馬偽裝成圖片，上傳之后運行。你可以在NGINX里邊，禁止某些目錄運行php

我個人現在用ESA（好像我經常推薦大家使用ESA。其他云廠商也有相關的功能），很多人攻擊你，都是用掃描的方式廣撒網。你去查看你的網站日志，肯定可以看到很多錯誤的訪問鏈接，比如非常普遍的：/wp-content/*** 因為很多掃描來自國外，他們才不管你的網站是DZ還是WP做的，就掃描。你可以在CDN，ESA，甚至服務器防火墻軟件去攔截某些路徑，或者特殊的文件名后綴。設置訪問限頻，或者直接攔截國外IP【注意，當你設置攔截IP或者手動設置IP黑名單的時候，要注意獲取真實IP】

【關于獲取真實IP】Discuz! X3.5 針對常見CDN/WAF/負載均衡，如何獲取真實IP？
http://www.9999xn.com/thread-15034-1-1.html

ysx24

上傳圖片木馬問題，可以把圖片和附件放在云端非本地，要使這段惡意代碼發揮作用，需要一個“解釋器”來執行它。對象存儲的主要功能是存儲文件，它并不會去解析和執行圖片中隱藏的PHP、ASP等腳本代碼。因此，木馬在COS上是“沉睡”的。如果設置存儲桶私有讀寫，即便有圖片木馬也難以執行
最優解用平安oss插件，圖片自動重繪，能徹底解決這個問題
被廣義惡意掃描每天都在經歷，我都已經徹底封禁國外了，然后好多了但也沒完全杜絕，我每次都是根據掃描特征加入nginx防火墻庫進行攔截

babyfacer

ysx24 發表于 2025-12-3 01:35
上傳圖片木馬問題，可以把圖片和附件放在云端非本地，要使這段惡意代碼發揮作用，需要一個“解釋器”來執行 ...

我的圖片就是放在服務器上的，我嫌麻煩，沒用OSS。因為需要使用加速，所以就用DCDN或者ESA，順便還可以攔截攻擊。網站數據流量小，用NGINX防火墻可以，流量大了不行，除非你的服務器配置本來就很好