网站被入侵安全排查整理

1.

# 查找最近 24 小时内修改过的 PHP 文件
find /www/wwwroot/zmzqw.com/ -name "*.php" -mtime -1

2.

1. 首选查杀工具：网站木马检测（必装）

• 操作：点击右侧的 “安装”。

• 原因：这是宝塔官方提供的 Webshell 查杀工具，专门用来扫描你发现的那种 FilesMan 后门。安装后，请立即对你的网站根目录执行“全盘扫描”。

2. 辅助查杀工具：ClamAV防病毒检测（建议安装）

• 操作：点击 “安装”。

• 原因：ClamAV 是 Linux 下最著名的开源杀毒引擎，它可以扫描系统层面的恶意脚本。如果“网站木马检测”漏掉了某些加密后门，ClamAV 可能会有发现。

3. 系统加固：Fail2ban（如果你在商店里能搜到）

请在搜索框搜 “Fail2ban”。

• 原因：你之前的日志显示黑客爆破了整整一天。手动封禁 IP 只能封一个，Fail2ban 可以让你一劳永逸——只要有人敢连续输错密码，系统会自动把他踢走并封禁 24 小时。

4.

关键：修改管理员密码

黑客持续爆破了 24 小时以上，你的 admin 账号非常危险。

• 请立即登录你的 WordPress 后台。

• 在 “用户” -> “我的个人资料” 中，点击 “设置新密码”。

• 务必使用一个非常长且复杂的密码。

重置所有密码：

• 网站后台密码：黑客爆破了这么久，可能已经尝试出了弱口令。

• 数据库密码：黑客只要进了 Webshell，就能看到你的 wp-config.php，从而拿到数据库权限。改完数据库密码后，记得同步修改 wp-config.php 文件里的密码。

              你在上一个提问中说把 744 改为 644 后网站打不开了。

• 原因：你可能把整个文件夹（目录）都改成了 644。在 Linux 中，**文件夹必须有“1”（执行权限）**才能进入。如果文件夹是 644，Web 服务器就进不去，从而报 403 错误。

• 修正方法：在宝塔中，将目录权限设为 755，文件权限设为 644。

4. 必须立即执行的步骤

5.用官方的数据覆盖