网站被挂黑链完整清理流程，加固防再次入侵

知识分享

2026-09-21 02:40

10 阅读

网站被挂黑链通常不是单一文件问题，而是入侵者留了后门、改了配置或提了权限。
想彻底清理并防止再次入侵，必须按“确认现象 → 定位入口 → 清除恶意内容 → 修复漏洞 → 加固验证”的顺序走，只删首页代码基本都会复发。

先确认黑链长什么样，别急着删

黑链一般有三种表现：搜索引擎快照里出现赌博、色情关键词；
页面源码底部多出隐藏链接；robots.txt 或 .htaccess 被篡改。
先留证据再动手，避免清理后无法对比。

登录宝塔面板，进入“文件”找到网站根目录，重点看这几个位置：

用命令快速搜可疑代码：

cd /www/wwwroot/你的域名
grep -rn "eval\|base64_decode\|gzinflate\|str_rot13\|preg_replace.*/e" . --include="*.php"

如果输出大量混淆代码，说明后门不止一个。不要只删搜出来的第一处，要全部记录路径再统一处理。

清理前先判断入侵者从哪进来，否则删完很快又被写回。
常见入口有：

查看最近被修改的文件：

find /www/wwwroot/你的域名 -type f -mtime -7 -name "*.php"

同时检查宝塔“安全”里的登录日志和 SSH 登录记录：

last -n 20
cat /var/log/secure | grep Accepted

如果发现陌生 IP 频繁登录，先改密码、封 IP，再继续清理。这一步不做，后面所有清理都可能白费。

确认恶意文件路径后，按以下顺序处理：

备份整站和数据库，防止误删。宝塔面板“网站 → 备份”可一键完成。
删除明显恶意文件，例如根目录下随机命名的 .php 文件、upload.php、shell.php。
还原被篡改的核心文件。如果用的是 WordPress、织梦等 CMS，从官方重新下载同版本覆盖 wp-admin、wp-includes 等核心目录。
检查数据库。黑链有时写在 wp_options、dede_addonarticle 等表里，用 phpMyAdmin 搜索可疑域名或 script 标签。
清理 .htaccess 和 Nginx 配置中不明跳转规则。

数据库里如果发现大量 eval 或外链，先导出备份再删除对应记录。

清理完成后，必须把入口堵住：

find /www/wwwroot/你的域名 -type d -exec chmod 755 {} \;
find /www/wwwroot/你的域名 -type f -exec chmod 644 {} \;

清理后不要只看首页，按下面几点复查：

网站被挂黑链完整清理流程的核心不是删文件，而是找到入口并堵住它。 只清理不加固，通常几天内就会再次被挂。

清理后搜索引擎快照还有黑链怎么办？

快照更新需要时间，可以在搜索引擎站长平台提交死链或快照更新请求，同时确保页面本身已干净。

没有技术基础能自己处理吗？

如果使用宝塔面板，按本文路径可以完成大部分操作。
遇到数据库篡改或服务器提权，建议先备份再找有经验的人协助。

需要重装服务器吗？

只有确认系统层被植入 rootkit 且无法清除时才考虑重装。
普通黑链清理后做好加固即可，不必直接重装。

加固后还会被入侵吗？

没有绝对安全，但及时更新、强密码、关闭多余端口和开启防火墙能挡住绝大多数自动化攻击。
建议每月做一次安全巡检。