网站被挂马是什么样，怎么防

被挂马的站，往往不是「打不开」，而是「打开得挺好，但里面多了东西」。

常见三种表现：

一，搜索结果里出现大量你没写过的页面。比如你的域名下突然有几千条「某某药品」「某某代开」的标题。这些页面是攻击者用你的站生成的，用来做灰色流量，代价是你的站被降权。

二，首页源码底部多了一段看不懂的脚本或一堆外链。这类通常藏在 footer 或者 js 文件里，肉眼在浏览器里看不到，要查看源代码才发现。

三，后台多了不认识的管理员账号，或者文件修改时间集中在某个凌晨。

为什么会中？多数不是被「攻破」，是被「捡漏」：后台密码是 123456 或域名加年份；用的是三年前没人维护的 CMS；上传目录允许执行 PHP，攻击者传一个图片马就能跑；插件从不明来源下载。

怎么防，按性价比排：

第一，后台密码换成 12 位以上、和别的站不重复的，登录地址别用默认的 /admin。这一条能挡掉八成脚本小子。

第二，站点根目录加 open_basedir 限制，让 PHP 只能读自己站内的文件。中了马也翻不到别的站和系统文件。

第三，关掉上传目录的 PHP 执行权限。图片目录里跑 PHP，百分之百是异常。

第四，每日扫一次。找最近 24 小时内被修改的 php 文件，找特征串（eval、base64_decode 套在一起、assert），找不该出现的 .php 文件在 uploads 里。这件事机器做比人靠谱，所以维护套餐里写的是「每日一扫木马后门」。

中了怎么办：先断外网保数据，再比对备份找差异文件，清掉后门、改所有密码、补上入口漏洞，最后去搜索资源平台提交死链和闭站保护。别只删文件不改密码——同一个洞还在，过两周又来。

本站自己的做法是：每站一个 open_basedir、上传目录禁 PHP、每日定时扫一次并把结果写日志、数据库每天 VACUUM 备份保留十四天。这些不加钱，是建站时就该有的底子。