核心要点（TL;DR）

• 用 grep 搜索特征字符串可快速定位被篡改的网页文件。
• find 结合时间戳和权限筛选能发现异常上传的 webshell。
• 清除木马后必须修复漏洞并重置所有密码，防止二次入侵。
• 定期检查文件完整性和日志是预防挂马的关键。

挂马症状与快速确认

网站被挂马后，常见症状包括：首页被篡改、出现陌生跳转、搜索引擎提示「该网站可能含有恶意软件」、服务器资源异常占用。作为运维或站长，你需要第一时间通过命令行确认是否被入侵。登录服务器后，先检查网站根目录下是否有近期被修改的文件：find /var/www/html -type f -mtime -2 -ls 列出最近两天内修改的文件，重点关注 .php、.js、.html 文件。同时使用 grep -r "

常见问题（FAQ）

网站被挂马后，最简单的排查方法是什么？

最简单的方法是使用 grep 命令搜索网页中的可疑代码片段，例如 标签或 iframe 注入。通过 SSH 登录服务器，在网站根目录执行 grep -r "可疑特征" . 快速定位被修改的文件。同时结合 find 命令按修改时间筛选近期变动的文件，往往能发现攻击者上传的 webshell。

如何用命令行查找网站中的 webshell？

使用 find 命令结合文件属性和内容特征来查找。例如：find /var/www -type f -name "*.php" -mtime -7 查找最近7天修改的 PHP 文件；grep -r -l "eval($_POST" /var/www 搜索常见 webshell 特征。还可以检查文件权限，如 find /var/www -type f -perm -o+w 找出全局可写文件，这些往往是攻击者留下的后门。

清除网页木马后，如何防止再次被挂马？

清除木马后必须修复入侵漏洞，例如更新 CMS 版本、修补插件漏洞、加强密码强度。同时重置所有网站账号和数据库密码，删除不必要的上传目录执行权限。建议部署文件完整性监控工具，定期扫描恶意代码，并配置 WAF 拦截常见攻击。AegisX 的网站安全防护功能可实时检测并阻断挂马行为，减少人工排查成本。

被挂马后，网站日志应该重点看哪些内容？

重点检查 Web 访问日志中的异常请求，例如大量 POST 请求到非常规文件、包含 eval、base64_decode 等参数的 URL，以及来自同一 IP 的高频访问。使用命令 grep -i "eval\|base64\|shell" /var/log/nginx/access.log 快速筛选可疑记录。同时查看系统认证日志 /var/log/secure 或 auth.log，排查是否有异常登录。

命令行清除木马时，如何避免误删正常文件？

操作前先备份整个网站目录和数据库，避免误删导致数据丢失。对于疑似文件，先使用 grep 和 cat 命令查看内容确认恶意特征，再决定删除。建议将可疑文件移动到隔离目录而非直接删除，观察网站运行状态。清除后使用 md5sum 对比文件哈希，确保核心文件未被篡改。