服务器挂马解决方案

服务器被挂马，服务说白了就是器挂你家大门被撬了，贼还往墙上喷了漆。马解别慌，决方也别急着格式化——先看看贼是服务怎么进来的，这比急着擦墙重要得多。器挂

三天前我处理过一台被挂马的马解CentOS服务器。网站页面底部多了一行不起眼的决方暗链，指向某个菠菜站点。服务排查下来，器挂漏洞不在程序代码，马解而在一个闲置的决方FTP账号——密码是六位纯数字，挂着/etc/passwd里的服务真实用户权限。这种事儿太常见了，器挂挂马九成以上不是马解0day攻击，而是你留了后门没关。

第一步，切断入侵路径。立刻改掉所有root、MySQL、FTP、SSH密码，别用同一个密码走天下。SSH端口能改就改，22端口每天被脚本小子扫几千次，这不是危言耸听。禁用root直接登录，用普通用户+sudo，再把密钥登录打开，密码登录关掉。这一步做完，至少挡掉80%的暴力破解。

第二步，找马。别瞎翻目录，直接从进程和网络连接入手。netstat -antlp看有没有异常外连IP，ps aux看有没有名字怪异的进程——比如httpd跑成了apache2.5，或者一堆随机字母的进程占着CPU。然后查计划任务，crontab -l和/etc/cron.*目录，挂马者最爱在这里写定时任务拉取恶意脚本。我见过最阴的把恶意代码塞进/var/spool/cron里，文件名是空格，ls根本显示不出来。

第三步，清马。找到恶意文件别急着删，先备份——你要留证据，也要知道它改了什么。常见藏身处：/tmp、/var/tmp、/dev/shm（内存盘，重启就没了，但运行期间一直在执行）、网站目录里的上传文件夹。用find / -mtime -3 -type f -name "*.php"找出最近三天被修改的脚本。仔细看时间戳，服务器没动过业务，突然冒出来的文件就是嫌疑犯。

清理时要连根拔。很多马是多层嵌套，母体删了，子体隔天又给你生一个。所以清完别急着上线，先跑一遍杀毒——ClamAV虽然老，但对付已知恶意软件够用。再把网站源码和数据库做一次完整性比对，用git或diff对比线上文件和备份文件，找出所有被篡改的地方。

第四步，堵漏洞。这一步才是治本。查Web服务器日志，tail -n 10000 access.log | grep -i "eval\|base64\|union select"，看有没有SQL注入或代码执行尝试。框架的更新补丁打全了吗？用了ThinkPHP还不升级，那就是等着被捅。文件上传功能是重灾区，检查上传目录是否有执行权限，php_flag engine off或者直接禁止该目录解析脚本。

还有个地方很多人忽略——备份文件。你服务器上的site_backup.zip如果权限是777，黑客下载下来解包，直接就能分析源码找漏洞。备份要放外部存储，别跟web目录放一起。

最后说句实在话：挂马这事，防永远比清重要。装个WAF（比如宝塔的免费版），定时备份数据库和文件，关掉不用的服务端口。我见过太多人连防火墙都没开，裸奔在公网上。服务器不是你家客厅，是临街店面——你不锁门，就别怪有人进来逛。

清完马别急着睡大觉。观察48小时，每天看一遍进程列表和网络连接。如果又冒出来新东西，说明还有后门没找到，回到第二步重新查。别嫌麻烦，黑客比你更勤快。