有一天你打開自己的網站，瀏覽器彈出一個紅色警告頁面：此網站可能包含惡意軟件。或者用戶反饋訪問網站後殺毒軟件報警。這時候基本可以确認：你的網站被掛馬了。
先别慌，按流程來
掛馬不可怕，可怕的是亂清理導緻二次問題或者清不幹淨反復中招。正确的處置流程是：隔離、定位、清除、修複、復測，一步都不能少。
第一步：隔離受影響的伺服器
發現掛馬後第一時間斷開公網訪問，或者在防火牆層面臨時封禁80和443端口。目的是防止惡意代碼繼續傳播給訪問者，同時避免攻擊者在清理過程中再次植入。如果是負載均衡多台伺服器，把受影響的節點摘掉，其他節點繼續提供服務。
第二步：定位惡意代碼
掛馬代碼通常藏在三個地方。一是網頁文件中，用grep搜索base64_decode、eval、gzinflate這些高危函數，搜索隐藏的iframe和script标簽。二是數據庫裡，檢查文章内容、配置項是否被插入了惡意腳本。三是伺服器層面，檢查定時任務、啟動項、異常進程。
工具方面，用find命令按修改時間排查最近被改動的文件，被掛馬的文件修改時間往往跟正常更新時間對不上。用clamav做全盤掃描，能發現已知特征碼的木馬。
第三步：清除惡意代碼
找到惡意代碼後，不要手動一個個删。從最近的幹淨備份恢複整個站點，然後逐個文件比對，把備份之後的合法修改補回去。沒有幹淨備份的，隻能手動清理，清理完做完整性校驗，确保沒有殘留。
數據庫也要查。用SQL搜索所有文本字段裡是否包含script、iframe、eval等關鍵詞。找到了就清除，同時記錄被注入的表和字段，這往往就是漏洞所在。
第四步：修複漏洞，否則白忙活
清理完木馬不等於安全了，攻擊者能進來一次就能進來第二次。必須找到入侵入口并修複。常見入口：後台密碼太弱、CMS版本有已知漏洞、上傳功能沒做限制、數據庫賬號權限過大。
逐一排查：更新所有CMS和插件到最新版本，修改後台管理員密碼，檢查上傳功能是否限制了文件類型，數據庫賬號權限收到最小必要。網站安全防護做到位，才能從根本上杜絕再次被掛馬。
第五步：復測和申訴
清理完成後，用多個安全檢測工具掃描确認無殘留。然後去搜索引擎站長平台提交申訴，申請解除安全警告。Google Search Console和百度站長平台都有安全審核入口，提交後一般幾天内完成複檢。别跳過這步，否則即使清理幹淨了，搜索引擎的警告标記還在，流量恢複不了。