搜索自己的品牌，结果标题变成博彩广告；客户说打开首页会跳到陌生站；服务器突然多了一堆看不懂的 PHP。这类情况，多半要按网站被挂马来处理。和证书报错、浏览器安全提示不同，挂马意味着站点里已经混进了不该有的代码或账号。下面只讲正当的发现、清理和加固，不涉及任何入侵步骤。
网站被挂马的常见信号
不必等安全厂商点名。下面这些单独出现就要警惕，叠在一起更要立刻动手：
- 首页、产品页内容被改，或定时跳转到外部地址；
- 搜索引擎快照、标题、描述被污染成赌博、仿冒内容；
- 后台多了不认识的管理员，或原管理员登不进去；
- 站点目录出现陌生脚本、加密文件、诡异的图片后缀可执行文件；
- 服务器 CPU、流量异常升高，访问日志里大量奇怪请求。
有的网站被挂马后很“安静”，前台看着正常，只在特定地区、特定关键词下才跳转。所以单靠肉眼刷首页不够，还要看源代码、看服务器文件变更时间、看搜索结果里的摘要。
发现后先隔离，再清理
确认异常后，优先减小伤害：临时切到维护页或下线对外访问、断开可疑定时任务、冻结不明管理员。同时保留证据——把被改文件、访问日志、数据库异常记录拷走备份，方便事后分析和向主机商说明。
清理顺序建议是：
- 用干净的备份覆盖被篡改的程序文件（确认备份本身是中招前的版本）；
- 全站搜可疑函数与陌生文件，删掉后门脚本和 webshell；
- 检查 CMS、插件、主题是否被植入暗链或加密代码；
- 数据库里查被插入的广告链接、异常管理员、被改的配置项；
- 所有相关密码一并更换：主机面板、FTP/SFTP、数据库、CMS、CDN、邮箱。
清理不是删几个文件就结束。漏掉一个隐藏后门，过两天又会看到网站被挂马的症状。若自己没有把握，让熟悉该 CMS 的技术人员或服务商协助，比反复试错更快。
加固：减少第二次中招
清理完立刻做加固，否则等于把门修好又把钥匙留在门外。优先这几项：后台改复杂路径并限制登录 IP 或加二次验证；关掉不用的插件和演示账号；程序与插件升到当前安全版本；上传目录禁止执行脚本；文件权限收紧，关键配置不可被网页用户写入；服务器防火墙和 WAF 规则打开基础拦截。
部署与发布流程也要收一收。生产环境别开调试、别把备份包扔在可访问目录、别用弱口令。多人协作时，离职账号当天禁用。做网站建设交付时，把上述项写进上线检查表，比出了事再补丁便宜得多。
和“浏览器提示危险”怎么衔接
挂马清理干净后，如果浏览器或安全厂商仍显示危险站点，再走误报/复审流程，并附上已清理说明。顺序是先清站点，再申诉标注——反过来容易刚恢复又被打回。证书、混合内容类提示按另一套排查，不要和木马清理混成一步。
对外沟通也要克制。客户问起来，如实说曾出现网站被挂马迹象、现已清理并加固，避免夸大或否认。同步检查企业微信、公众号、投放落地页是否共用了被污染的域名。
日常巡检别等出事
每周看一眼文件变更、管理员列表、搜索品牌词结果；证书与程序更新设提醒；访问日志对异常峰值设告警。中小站点没专职运维，也可以约定主机商或建站方做基础巡检。网站安全不是装一次插件就一劳永逸，而是持续少给攻击面留口子。网站被挂马往往不是“突然有人盯上你”，而是弱口令、旧插件、可执行上传目录这些口子一直开着。
备份策略决定能不能快速翻身
清理时最怕的是：中招前没有可用备份，只能手工抠木马。建议至少保留多份按时间点的完整备份，并且备份存放在站点目录之外。恢复前先抽查备份里有没有已被植入的文件，避免“恢复完又是挂马版本”。有干净备份，网站被挂马的处理时间会短很多；没有备份，就只能接受更长的排查和可能的重建。
结论
网站被挂马怎么办，核心三步：根据信号快速隔离，按备份与后门排查做彻底清理，再改密码、打补丁、收权限完成加固。处理要走正当修复路径，不靠旁门左道。需要协助排查或重建站点，可联系蔚岚科技 18720919319，或通过联系我们说明异常现象。
常见问题
网站被挂马后一定要重装系统吗？
不一定。程序级植入往往清文件、清库、改密码就够；若主机被拿下权限或内核异常，再考虑重装或换机。
只有搜索结果被污染，站点文件却看不出改动？
可能是快照未更新，或只污染了特定入口。继续查跳转脚本、.htaccess、CDN 配置和站外镜像，并申请更新快照。
清完就安全了吗？
清完只是回到起点。不加固、不改密码、不升级，很容易再次中招。清理和加固要一起做。
小公司没有运维，网站安全怎么做最小集？
强密码、自动备份、及时更新、关闭多余插件、上传目录不可执行，这五项坚持做，已经能挡住大量常见问题。
要不要公开说明被挂过马？
对受影响的客户和建议咨询的用户，简要说明并给出现状即可。技术细节不必展开，避免被仿冒利用。