打开自己的篡改网站，首页赫然挂着一排赌博链接——这种事我遇到过三次。网页最近一次是消除帮朋友处理他的外贸站，服务器在洛杉矶，篡改域名注册商是网页Namecheap，某天早上他发现Google搜索结果里自己的消除品牌词后面跟着一串“真人百家乐”。网页被人篡改了，篡改而且改得明目张胆。网页

先说什么叫网页篡改。消除简单讲，篡改就是网页有人未经授权改了你网站上的内容。常见形式有几种：首页被替换成黑页、消除页面里被插入隐藏链接、篡改JS文件被注入跳转代码、网页数据库里的消除文章被批量替换。不同形式对应不同的入侵路径，消除方法也不一样。

先搞清楚是怎么被改的

别急着删代码。你得先知道对方从哪个口子进来的，否则删了还会再被改。我习惯先做三件事：

查服务器访问日志。重点看POST请求和异常时间段的IP。朋友的站就是通过一个过期的WordPress插件漏洞被上传了webshell，日志里能看到攻击者从荷兰IP反复请求/wp-content/uploads/2023/08/x.php。

对比文件修改时间。用find /var/www -mtime -7 -type f列出最近七天被改过的文件。正常更新的文件和被篡改的文件通常混在一起，但篡改的文件往往集中在几个目录：首页文件、.htaccess、主题的functions.php、还有wp-config.php附近。

检查数据库。有些篡改不碰文件，直接改数据库里的文章内容或插入新记录。搜一下wp_posts表里有没有包含<script>或iframe的陌生记录。

清除操作要按顺序来

找到入口之后，先堵住，再清理。顺序反了的话，你这边删，他那边马上又写回去。

第一步，改所有密码。服务器SSH、数据库、CMS后台、FTP，一个都别漏。同时把CMS和所有插件升级到最新版。朋友的站就是栽在一个两年没更新的插件上。

第二步，删掉可疑文件。常见后门文件名很会伪装：wp-cache.php、class-wp-update.php、index2.php。用grep -r "eval(" /var/www搜一下，eval加base64是webshell的经典写法。看到就删，别犹豫。

第三步，还原被改的页面。如果首页文件被替换，从备份恢复最快。没备份的话，手动删掉插入的恶意代码。注意检查.htaccess里有没有被加RewriteRule跳转，还有wp-config.php顶部有没有被塞进一行include。

第四步，数据库清理。用phpMyAdmin或命令行把恶意记录删掉。如果文章被批量插入垃圾链接，可以写SQL替换：UPDATE wp_posts SET post_content = REPLACE(post_content, '恶意字符串', '')。

清完之后还要防

光删不够。我见过有人清完三天又被黑，因为漏洞根本没补。装个Wordfence或者Sucuri，开启文件监控。服务器层面把uploads目录的PHP执行权限关掉，在nginx里加一条location ~* /uploads/.*\.php$ { deny all; }。这能挡住大部分上传型后门。

另外，Google Search Console里提交重新审核。被篡改过的页面在搜索结果里会挂“此网站可能被黑客入侵”的警告，不处理的话流量掉得厉害。朋友的站提交后大概五天警告消失。

最后说个观察：被篡改的站，九成以上是CMS加一堆插件，而且很久没更新。纯静态站几乎没人动，因为没入口。如果你用WordPress，把插件数量控制在十个以内，删掉不用的主题，能省很多事。

(责任编辑：休闲)