内容摘要：网站被挂马这事，我见过最离谱的一次是某企业官网首页被塞了整整三屏的赌博广告，而站长直到客户打电话来问“你们是不是转型了”才发现。检查挂马不是什么高深技术活，但需要你像个侦探一样，带着怀疑去翻每一行代码

网站被挂马这事，何检我见过最离谱的查网一次是某企业官网首页被塞了整整三屏的赌博广告，而站长直到客户打电话来问“你们是站否不是转型了”才发现。检查挂马不是被挂什么高深技术活，但需要你像个侦探一样，何检带着怀疑去翻每一行代码。查网 **第一刀：看页面源代码** 打开浏览器按F12，站否或者直接右键“查看网页源代码”。被挂别急着从头看到尾，何检先按Ctrl+F搜几个关键词：`iframe`、查网`script`、站否`eval`、被挂`document.write`、何检`base64`。查网正常网站不会频繁出现这些，站否如果搜出大量不明所以的iframe引用外部域名，或者一串长得像乱码的base64字符串，那基本可以断定中招了。我见过有些马藏得深，会写在JS文件里，所以光看首页HTML不够，得把页面引用的每个.js文件都打开扫一眼。 **第二刀：检查服务器文件时间戳** 登录FTP或SSH，重点看两个目录：`/web`（或网站根目录）和`/tmp`。按修改时间排序，找出最近三天内被改动过的文件。正常运营的网站，除了你手动上传的内容，不该有突然新增或修改的PHP文件。黑客惯用伎俩是往根目录塞个`x.php`或`shell.php`，文件名起得和正常文件极像，比如`index.php.bak`、`wp-login.php`。我上次在一台服务器上发现个`css.php`，打开一看里面全是连接俄罗斯IP的代码，文件名伪装得比真的还像。 **第三刀：盯数据库里的异常数据** 很多马不碰文件，直接往数据库里塞东西。用phpMyAdmin或命令行查一下内容表，重点看`posts`、`articles`这类存储正文的字段。搜索关键词：`