网页木马如何查杀清理

第三阶段：清理与修复

找到木马文件后不要直接删除,防止依赖文件导致网站崩溃。

1. 官方恢复：从干净的最新备份（攻击发生前的备份）中覆盖文件。这是最安全、最彻底的方法。
2. 手动清理：
   • 删除所有非正常的、包含恶意代码的文件。
   • 如果使用了CMS（如WordPress、DedeCMS、Discuz!），务必更新到官方最新版本，并检查核心文件是否有被篡改（对比MD5）。
3. 修复漏洞：
   • 木马进入通常是因为文件上传漏洞、SQL注入后门或弱口令（如后台密码为admin123）。
   • 必须重置所有管理员密码（FTP、后台、数据库）。
   • 修复文件上传点（限制上传类型、使用白名单）。
   • 关闭不必要的目录执行权限（如 uploads 目录设置为禁止执行脚本）。

第四阶段：彻底清理后门（防止复发）

有些木马会写入服务器操作系统层面的后门（如计划任务、注册表、用户提权）。

1. 清理计划任务：
   • Windows：schtasks 查看可疑定时任务。
   • Linux：检查 /etc/crontab 及 /var/spool/cron/ 中是否有可疑脚本。
2. 检查启动项：Windows中检查 msconfig 和 Startup 文件夹；Linux检查 /etc/init.d/ 和 systemctl list-unit-files。
3. 检查系统用户：Linux中 cat /etc/passwd 查看是否有陌生UID为0（root权限）的用户。

第五阶段：善后与加固

1. 更换所有密钥：更换FTP密码、数据库密码、后台密码（使用16位以上高强度随机密码）。
2. 部署安全软件：安装服务器端防火墙（如ModSecurity）和文件监控工具（如Tripwire、OSSEC）,当文件被修改时能立刻告警。
3. 定期扫描：即使清理后,建议每周运行一次Webshell扫描。

特别提醒（非常重要）

• 不要只使用重装系统：如果木马已经拿到root/Administrator权限，他可能已经在你服务器上装了内核级Rootkit，重装系统是唯一方案，但在重装前，务必更换所有密码（包括域名商、云服务商、邮箱密码）,否则重新上线后数小时内可能再次被入侵。
• 法律风险：如果网站被植入的是赌博、色情、诈骗类木马，建议立即向网安部门报案并删除所有内容，否则你可能要承担刑事责任（“帮助信息网络犯罪活动罪”）。

总结建议： 如果是非技术站长，不要自己折腾，立刻联系服务器托管商（如阿里云、腾讯云、AWS）的安全专家服务，或购买付费的网站安全扫除服务（一般几百元一次），因为手动查杀可能漏掉隐藏的下载者木马（下次自动重新下马）,导致你白忙一场。