访问就被劫持跳转
- 手机打开跳到赌博 / 色情 / 电商站，电脑却正常
- 只有从搜索结果点进来才跳，直接输网址不跳
- 页面底部被塞进一堆看不懂的隐藏链接
- 快照被劫持，搜自己公司出来的是别的内容
症状
中招了通常长这样
有一条对上就该查了。很多站主是等到谷歌标红、或者主机商发邮件停机才发现，那时候往往已经被利用很久了。
被标红、被拦截
- 浏览器提示“此站点可能包含恶意软件”
- Google Search Console 收到安全问题通知
- 广告账户因落地页问题被拒
- 网站邮件大面积进垃圾箱、域名信誉下滑
后台出现异常
- 多出陌生的管理员账号
- 出现从没装过的插件，或者插件列表里删不掉的项
- 文章里被插入外链，或者多出成百上千篇垃圾页面
- 后台文件编辑器里的主题文件被改过
服务器异常
- CPU / 带宽莫名跑满，网站变得很慢
- 服务器被拿去群发垃圾邮件，IP 进黑名单
- 主机商发来违规警告，甚至直接停机
- 目录里冒出一堆时间戳很新的陌生 PHP 文件
处理内容
三步处理，不留后患
一 · 全面排查与清除
- 核心文件与官方源逐一比对，找出被篡改的部分
- 查杀 WebShell、后门、一句话木马
- 清理主题 / 插件里被注入的混淆代码（eval、base64、gzinflate 等）
- 检查伪装成插件的恶意目录、mu-plugins 隐藏加载
- 清理数据库注入：文章内容、选项表、用户表里的恶意内容
- 检查被篡改的 .htaccess / nginx 规则与恶意跳转
- 排查恶意计划任务定时复活
二 · 溯源与封堵入口
- 翻访问日志与错误日志，定位最初的入侵时间与路径
- 按文件修改时间排序，还原被植入的先后顺序
- 确认入口：过时插件漏洞 / 弱口令爆破 / 上传点未校验 / 同服务器其他站被拖累
- 升级或替换掉有已知高危漏洞的插件与主题
- 关闭危险的上传与执行路径
- 重置所有相关密码：后台、数据库、FTP、面板
三 · 加固与善后
- 目录与文件权限收敛，禁止后台在线编辑文件
- 上传目录禁止执行 PHP，堵掉最常见的落脚点
- 限制登录尝试次数，建议开启两步验证
- 移除版本号暴露，关闭无用的 XML-RPC / REST 暴露面
- 配置自动备份策略，出事能立刻回滚
- 交付清理报告：清了什么、入口在哪、之后要注意什么
- 协助向 Google 提交重新审核，撤掉安全警告
一件想先说清楚的事
并不是所有“看起来像中毒”的情况，真的就是中毒。
处理过一个案例：客户很确信自己网站被植入了恶意 JS，因为发信开始被大量拒收。全站彻底排查之后，并没有找到任何活跃的恶意代码 —— 真正的原因是站上有几个长期未更新的高危插件，加上域名本身信誉早已受损。
如果查下来确实没有中毒，我会直接告诉你，并把真正的问题指出来，而不是随便删几个文件然后收钱了事。
为什么“清完又回来”
这是最常见的抱怨，原因基本只有三个：
- 只删了看得见的文件，没堵入口，攻击者原路再来一次
- 漏掉了定时任务或数据库里的复活代码，删了自己长回来
- 同一台服务器上的其他站点也被黑了，互相反复感染
流程
处理流程
免费初查
发我网址，我先从外部扫一遍、看一下症状，判断大概是什么情况。
完整备份
动手前先把现状（含“带毒”状态）完整备份，作为对照和退路。
清除 + 溯源
清干净所有恶意代码，同时通过日志找到入侵入口并封堵。
加固 + 报告
做完权限与漏洞加固，交付清理报告，需要的话协助申请谷歌复审。
你需要提供
- 服务器 SSH 或面板权限（必需，要查日志和全盘文件）
- WordPress 后台管理员账号
- 症状描述：什么时候发现的、在哪些设备或入口能复现
有的话一并给我
- 收到过的谷歌或主机商通知邮件
- 同一服务器上是否还有其他站点
- 有没有近期的干净备份
常见问题
关于杀毒加固
清理会不会把我的网站内容也删掉？
不会。清理前先做完整备份，清理时是定位到具体的恶意片段再处理，而不是整目录删除。
核心文件采用与官方源比对的方式还原；主题和插件里的注入代码逐处清除，不影响正常功能与内容。
能保证以后不再被黑吗？
这一次的入侵入口会被找到并封堵，常见的攻击面会一并收敛，再配上一套可执行的日常维护方案（及时更新、强密码、定期备份）。
按这套做下来，绝大多数站点都不会再出问题 —— 二次被黑几乎都是因为入口没堵、维护没跟上。
被谷歌标红了怎么办？
先彻底清理干净，再通过 Google Search Console 提交重新审核。清理彻底的话，通常几天内解除。
如果没清干净就提交，会被驳回，而且反复驳回会拖长整个恢复周期，所以顺序不能反。
为什么杀毒软件或安全插件扫不出来？
因为很多后门是高度混淆的，或者伪装成正常的主题函数、藏在数据库里、藏在计划任务里。特征库匹配对这些效果有限。
更可靠的做法是与官方源比对加上按修改时间排查 —— 攻击者可以混淆代码，但很难让文件时间和官方版本完全对得上。
要多久？期间网站能访问吗？
常规情况 1–2 天。如果站点很大或者被植入得很深，会久一些，我会提前说。
清理期间网站基本可以正常访问。个别情况（比如需要临时关闭某个被利用的功能）会短暂影响，我会提前告知。
我同一台服务器上有好几个站，怎么算？
300 元是单站价格。但同服务器多站的交叉感染很常见，我会一并检查并告诉你哪些站受影响，再一起商量怎么处理最划算，不会一个个按原价叠加。
联系方式
怀疑中招了？先免费检查
把网址和症状发我，我先从外部扫一遍，告诉你是不是真的中毒、大概是哪一类。
微信（推荐，回复最快）fishzzz233
扫码加我微信
淘宝下单 · 平台担保交易前往店铺 ↗
扫码加我微信
¥300 · 清除 + 溯源 + 加固 · 周一至周日 09:00 – 22:00，一般 1 小时内回复