网站被黑挂马自救指南：做网站页面代码图解步骤

发布时间：2026/10/2 11:25:00 分类：设计行业资讯作者：迪森泰团队

网站被黑挂马自救指南：做网站页面代码图解步骤

网站被黑挂马不知道怎么办？别慌，先检查服务器日志，再看页面源码是否被注入。很多站长遇到这种情况就手足无措，其实只要掌握做网站页面代码的底层逻辑，配合清晰的图解步骤，你能在半天内完成清洗与加固。今天不聊虚的，直接拆解从排查到修复的全过程，让你看懂代码层面的攻防细节。

威胁场景：黑客是怎么进来的

中国互联网络信息中心(CNNIC)发布的报告显示，Web应用层漏洞仍是导致网站数据泄露和恶意篡改的主要原因。很多站长以为买了高防服务器就万事大吉，结果还是被挂了马。为什么？因为攻击者根本不走服务器入口，他们走的是代码入口。

常见的攻击场景有三种。第一种是SQL注入。黑客在搜索框或登录框输入特殊字符，绕过验证直接读取数据库。如果你看到后台多了陌生的管理员账号，或者前台页面突然多了博彩链接，大概率是这个原因。第二种是文件包含漏洞。比如网站上传了图片，文件名里夹带了PHP代码，或者通过include函数加载了可控的文件路径。这种漏洞隐蔽性极强，页面看起来正常，但服务器后台已经被植入木马。第三种是XSS跨站脚本攻击。虽然XSS主要窃取Cookie，但配合其他漏洞，它能帮黑客维持长期访问权限。

更隐蔽的是Webshell。黑客在服务器目录里留下一个名为shell.php或伪装成log.txt的文件。只要这个文件存在，即使你重装了网站程序，黑客也能随时回来。所以，排查时不能只看前台页面，必须深入服务器文件系统。

很多站长被黑后第一反应是删文件、重装系统，这是错误的。如果不找到入侵点，重装后黑客换个路径又能进来。正确的思路是：定位入口 → 清除后门 → 修补漏洞 → 加固配置。

漏洞原理：代码里的“后门”长什么样

要防住黑客，得先看懂代码是怎么被利用的。以最常见的SQL注入为例，假设你的PHP代码是这样写的：

<?php
// 危险代码示例
$id = $_GET['id'];
$sql = "SELECT * FROM users WHERE id = $id";
$result = mysqli_query($conn, $sql);
?>

这里有个致命问题：$id直接拼接进了SQL语句。如果攻击者在URL里输入id=1 OR 1=1，SQL语句就变成了SELECT * FROM users WHERE id = 1 OR 1=1。因为1=1永远为真，数据库会返回所有用户数据。如果攻击者输入id=1; DROP TABLE users，你的用户表直接就被删了。

再看文件上传漏洞。很多CMS系统在上传文件时只检查了文件扩展名，比如只允许.jpg、.png。但黑客可以上传一个名为shell.php.jpg的文件，然后利用IIS或Apache的配置缺陷，让服务器把它当PHP解析。或者，黑客利用魔术字节，把PHP代码头伪装成图片头，绕过前端检测，直接上传到服务器。

还有一个容易被忽视的点：权限配置不当。很多站长为了图方便，把Web目录的权限设为777（所有人可读写）。这意味着任何通过漏洞进来的进程，都能在Web目录下创建文件、修改代码、删除日志。这是给黑客留的“VIP通道”。

理解这些原理不是为了让你去黑别人，而是为了让你知道，防护的重点在于输入验证、权限最小化和代码隔离。只要这三点没做好，再贵的防火墙也拦不住。

防护方案：代码加固与配置详解

接下来是实操部分，我们将通过做网站页面代码的修改，一步步堵住漏洞。

1. 修复SQL注入：使用预处理语句

把上面的危险代码改成这样：

<?php
// 安全代码示例
$id = $_GET['id'];
$stmt = mysqli_prepare($conn, "SELECT * FROM users WHERE id = ?");
mysqli_stmt_bind_param($stmt, "i", $id); // i表示整数类型
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);
?>

预处理语句将SQL结构与数据分离，无论$id传入什么内容，都不会被解释为SQL指令。这是防注入的标准做法，所有支持预处理的数据库（MySQL、PostgreSQL、SQL Server）都应该这么写。

2. 修复文件上传：双重验证

不要只信前端JS，不要只信文件扩展名。后端必须做三重验证：

MIME类型检查：使用finfo库判断文件真实类型，而不是看后缀。
重命名：上传后必须重命名为随机字符串，比如abc123.jpg，禁止使用原始文件名。
目录隔离：上传目录禁止执行脚本。在Nginx中，可以对上传目录添加location规则，禁止.php、.phtml等执行。

location /uploads/ {location ~ \.(php|phtml|php3|php4|php5)$ {deny all;return 403;}
}

3. 权限收紧：最小权限原则

检查服务器Web目录权限。Linux下，Web目录属主应为www-data（Nginx）或nginx，权限设为755（目录）和644（文件）。绝对不要给777。如果是Apache，确保AllowOverride None，禁止.htaccess修改权限。

4. 隐藏敏感信息

在代码中，不要直接暴露数据库密码、API密钥。使用环境变量或配置文件，并限制配置文件的访问权限为600。在PHP中，删除phpinfo()页面，生产环境关闭display_errors，错误日志只记录到文件，不输出到页面。

检测与修复：如何清洗被黑的网站

如果你的网站已经被黑，按以下步骤操作：

隔离环境：立即备份当前网站文件和数据库，然后停止网站服务，避免黑客继续操作。
查杀Webshell：使用安全扫描工具（如D盾、河马）扫描整个Web目录，找出异常文件。重点关注最近修改过的文件，以及文件名奇怪的.php、.txt文件。
分析日志：查看Web服务器访问日志（access.log），搜索GET请求中包含%00、union、select等关键词的记录，定位攻击源IP。查看错误日志，寻找PHP报错信息，往往能发现注入点。
对比源码：如果你有原始代码备份，用文件对比工具（如WinMerge）对比当前代码和原始代码，找出被篡改的部分。常见的篡改点包括：index.php、header.php、footer.php等全局引入文件，以及JS文件。
清除后门：删除所有Webshell，重置所有管理员密码，检查数据库中是否有陌生账号。