先确认：这些迹象说明网站可能被篡改了
网站被挂马，指的是别人往你的网站里塞了一段恶意代码或一个恶意页面；被篡改则是原来的页面内容被改掉了。两者经常同时出现，常见表现有：
- 首页标题、图片或联系方式被改成陌生内容，或者访问时跳到不相关的站点。
- 搜索引擎结果里出现赌博、代开票之类的关键词，而你从没发过这类内容。
- 浏览器访问时提示“此网站可能不安全”，或搜索结果被标注“可能遭篡改”。
- 服务器上多出看不懂的文件和目录，或者原本正常的文件体积突然变大。
- 流量、CPU 占用莫名升高，页面加载明显变慢。
只要命中其中一两条，就应当按“已被入侵”来处理，而不是先观察几天再说。
第一步：隔离现场，别急着删文件
很多人的第一反应是把可疑文件删掉，结果既没找到入口，也没留下证据，过两天又被挂一次。正确的顺序是先隔离、再取证、最后清理。
- 把网站临时切换为维护页或暂停对外访问，避免访客继续中招，也避免搜索引擎继续抓取被篡改的页面。
- 完整备份一份当前的文件和数据库，另存到本机或独立存储位置，作为比对用的“现场样本”。
- 记录发现时间、异常内容、涉及网址，以及最近的账号变更、程序更新、插件安装记录。
- 导出这段时间的网站访问日志，保留原始文件，不要覆盖。
如果条件允许，把服务器登录密码、数据库密码、后台账号密码全部更换一次，并开启二次验证，防止对方用旧密码再回来。
第二步：找入口，而不是只删结果
被篡改的文件只是“结果”，真正要处理的是攻击者进来的那条路。常见入口有几类：
- 程序或插件版本太旧，存在已公开的漏洞。
- 后台账号密码太弱被猜中，或多人共用同一个账号。
- 上传功能没做类型限制，被传上来了可执行文件。
- 同一台服务器上的其他站点被入侵后，横向影响到你的目录。
排查时可以借助日志里的异常请求和文件的修改时间来判断。被篡改文件的时间戳往往集中在一两个时间点，顺着那个时间点往前翻日志，通常能找到可疑的访问记录。
第三步：清理与恢复
清理的原则是“能换就换，不能换再改”：
- 如果程序本身是标准产品，优先用官方最新版本覆盖核心文件，再单独恢复主题、插件和上传的图片资料，这样最干净。
- 如果无法覆盖，就逐个比对可疑文件并删除多余代码；页面文件、配置文件、伪静态规则、定时任务都要检查。
- 检查数据库里是否被插入了恶意链接、异常管理员账号、被改过的站点配置项。
- 确认干净后，再逐步恢复对外访问，并重新生成站点地图、提交给搜索引擎。
清理完不等于结束，要连续观察一到两周，确认没有再次出现异常，才算基本处理完。
第四步：加固，让下一次更难发生
- 程序、插件、服务器系统保持更新，不用的插件及时卸载。
- 后台账号一人一个、密码独立且足够长，能开二次验证就开。
- 定期自动备份，备份文件不要放在网站目录里，最好留一份异地副本。
- 给关键文件设置合理权限，关闭不必要的目录浏览和写入权限。
- 定期自查一次，看文件是否有异常改动、日志里是否有可疑请求。
被挂马不一定说明技术差，多数情况是长期没更新、没备份、没看日志。把上面几件事变成习惯，再遇到问题时会从容得多。