虚拟主机网站总被篡改_应急处理
百度云服务器做网站总被篡改，虚拟主机用户联系客服协助扫描和隔离，自己能做的是改密码、备份、看访问日志找入侵时间和入口。虚拟主机环境相对隔离，服务器层面被黑的概率低，大多是网站程序漏洞。
木马扫描方法：用 find 命令找最近修改的 PHP 文件（find /www/wwwroot -name "*.php" -mtime -7）；用 grep 搜危险函数（eval、base64_decode、gzinflate、assert、system、exec）；用专业工具（河马webshell查杀、云锁、安全狗）扫描；对比官方程序文件哈希，找出被篡改的文件。
参考（网站被黑排查命令）： ``` # 找最近7天修改的PHP文件 find /www/wwwroot/域名 -name "*.php" -mtime -7 -ls
# 搜危险函数 grep -r "eval(" /www/wwwroot/域名 --include="*.php" grep -r "base64_decode" /www/wwwroot/域名 --include="*.php" grep -r "gzinflate" /www/wwwroot/域名 --include="*.php" grep -r "assert(" /www/wwwroot/域名 --include="*.php" grep -r "system(" /www/wwwroot/域名 --include="*.php"
# 找异常权限文件 find /www/wwwroot/域名 -perm 777 -ls
# 看异常进程 ps aux | grep -E "php|curl|wget|python" | grep -v grep
# 看计划任务 crontab -l cat /etc/crontab
# 访问日志找异常POST grep "POST" /www/wwwlogs/域名.log | awk '{print $1}' | sort | uniq -c | sort -rn | head -20
# 看登录日志 last -20 cat /var/log/secure | grep "Accepted" ```
长期安全防护：定期备份（每天自动备份）；及时升级 CMS 和插件；强密码 + 定期更换；后台地址隐藏 + IP 白名单；上传目录禁执行 PHP；安装 WAF（云锁、安全狗、宝塔防火墙）；监控文件变化（inotify 或面板文件校验）；SSL 加密传输；定期安全扫描。
被黑后数据恢复：如果数据库被篡改或删除，从最近备份恢复；如果文件被篡改，用官方程序包覆盖核心文件 + 恢复模板备份；如果没有备份，尝试从服务器快照、CDN 缓存、百度快照恢复部分内容。备份是被黑后恢复的唯一保障，平时就要做好。
更新时间：2026-08-27 09:57:37