去年秋天，网站一个做外贸的挂马朋友半夜给我打电话，说Google Search Console给他发了安全警告，检测网站被标记为“包含恶意软件”。网站他那个站每天有几千个询盘，挂马这一下流量直接腰斩。检测我让他别急，网站先把首页源码拉下来看。挂马果然，检测页面底部多了一段被混淆过的网站JavaScript，通过document.write动态注入了一个来自陌生域名的挂马iframe。典型的检测挂马。

这就是网站360网站挂马检测这类工具存在的意义。它不跟你讲道理，挂马直接扒开网页的检测皮，看里面藏了什么脏东西。

它到底在查什么

360的挂马检测引擎主要盯着几个地方。一是页面里有没有被塞进<iframe>、<script>标签指向已知的恶意域名库。二是检查JavaScript代码里有没有eval、unescape、fromCharCode这类混淆函数被滥用。三是比对页面文件的MD5值，看有没有被篡改。四是模拟浏览器行为，看页面加载后会不会偷偷跳转或者弹出下载框。

我试过拿一个干净的WordPress站做测试，手动在footer.php里加了一行<script src="http://evil.com/x.js"></script>，提交检测后大概十几秒就出了结果，红色警告，标注“发现外部可疑脚本引用”。速度还行，但误报也有。有些统计代码、广告联盟的脚本会被它标黄，说“建议人工确认”。这倒能理解，毕竟机器分不清Google Analytics和恶意统计脚本的区别。

挂马的人比你想象中勤快

很多人以为网站被挂马是随机事件。不是。我观察过几个被黑的站，攻击路径高度一致：先扫后台弱密码，进去之后在主题文件里插一句话木马，然后通过那个木马批量修改所有文章页，在数据库的post_content字段末尾追加一段加密脚本。整个过程自动化，一个晚上能扫几千个站。

更麻烦的是“暗链”。有些挂马不弹窗不跳转，就是在页面里塞一堆隐藏的<a>标签，指向博彩、色情站点。用户看不见，但搜索引擎能爬到。等你发现的时候，百度可能已经把整站降权了。360的检测对这种暗链有专门规则，会提取页面所有链接，比对黑名单库，同时检查链接的CSS样式是不是display:none或者visibility:hidden。

检测之外的事

工具能告诉你“有病”，但治病得自己来。360网站挂马检测的结果页会给出一段被篡改的代码位置，通常是文件路径加行号。这时候别急着删，先把原始文件备份下来。我见过有人直接删了被注入的代码，结果网站白屏——因为那段代码里还夹着网站正常的统计逻辑，挂马的人只是在外层包了一层恶意跳转。

清理完之后，改数据库密码、改FTP密码、改后台密码，三件事一个都不能少。如果用的是WordPress，把wp-config.php里的salt值也换掉。不然过两天木马又回来了，你还会以为是检测工具误报。

说回那个外贸朋友。我帮他清掉脚本之后，又在.htaccess里加了一条规则，禁止外部IP直接访问wp-login.php。三个月过去，Google的警告消失了，询盘也恢复了。他后来问我，要不要装个付费的防火墙。我说你先用360的免费检测盯着就行，每周扫一次，比什么都强。

挂马这事，防不住所有，但至少别当那个最后一个知道的。