35互联虚拟主机被挂马怎么办_快照被篡改清理步骤
35互联虚拟主机出现快照被篡改，基本是被挂马或被入侵。先不要删文件，保留现场截图和日志备份，再按流程清理。挂马的常见入口是程序漏洞、弱密码、插件漏洞，清理完必须补漏洞，否则 24 小时内会再次被入侵。
常见挂马位置：index.php/header.php/footer.php 被插入 eval/base64_decode 后门代码；.htaccess/web.config 被加 301 跳转到博彩站；上传目录下出现伪装成图片的 webshell（如 123.jpg.php）；数据库文章内容被插入隐藏 div 黑链；JS 文件被注入挖矿或跳转代码。
参考（维护页 503（清理期间临时使用））： ``` # Apache .htaccess RewriteEngine On RewriteCond %{REMOTE_ADDR} !你的办公IP RewriteRule .* - [R=503,L] ErrorDocument 503 /maintenance.html ```
预防挂马的日常措施：每月升级 CMS 和插件、FTP 密码每 3 个月换一次、后台限制 IP、关闭不用的上传功能、定期备份（每周一次全量备份）、安装主机商提供的安全扫描。被入侵后备份能快速回滚，比从零清理省 80% 时间。
挂马清理后的安全加固清单：FTP 密码改 16 位以上、后台路径改掉并限制 IP、CMS 和插件升级到最新版、删除不用的插件和模板、上传目录禁止执行 PHP（Apache 用 .htaccess 的 RemoveHandler，IIS 用 handler 映射）、数据库密码改强、每周自动备份。六项全部做完，再次被入侵的概率降到 5% 以下。
反复被挂马说明有深层后门。常见隐藏方式：.htaccess 里的 php_value auto_prepend_file 全局注入、图片里的 polyglot webshell、数据库里的一句话后门、计划任务（crontab）定期重建后门。清理后 3 天内文件再次被修改，立即联系主机商做全盘安全扫描，或备份数据后重装站点。
更新时间：2026-08-27 13:06:49