有青岛的老板问我，网站被挂马跳转，删掉那段代码不就好了？我的答案是：删掉容易，找到人是怎么进来的才难，源头不堵，清一遍过几天又会被塞回来。信服无限青岛团队做安全处理时，最怕客户只清表面不查根子。
权限是怎么被拿走的
挂马的第一步，是有人拿到了写文件的权限。弱口令、旧插件漏洞、被传上去的木马，都是常见入口。青岛不少企业网站被挂马，根子是一个几年前装的插件没升过级，漏洞被利用，攻击者直接就能往目录里写文件。
权限被拿走后，往往还会留下后门。青岛做网站的，清理时要顺带查有没有藏起来的后门文件，只删挂马代码不管后门，等于窗户关上了门还开着，过不了几天又被进来一次。
代码是怎么被塞进来的
挂马代码常常藏在正常文件里，一段就够，看着不起眼。公共头部、首页模板、js 文件都是高发区。青岛不少企业的挂马就藏在首页的一段脚本里，前台正常浏览时触发不了，只有从搜索引擎的特定来源进来才跳转，特别隐蔽。
清挂马要对文件做比对，跟原始版本一核，多出来的才现形。青岛做安全处理的都知道，凭肉眼找出被改的那一行很难，对照干净版本、看修改时间，才是靠谱的办法，删干净才知道是不是真清完了。
清完要加固、要看住
清一遍不代表就没事了，加固跟不上还会再中招。密码换强、程序升级、权限收紧，把入口堵上。青岛不少企业清完挂马就松懈了，安全设置一还原，过阵子又被挂一次，来回折腾。
加固之后还得盯着。文件有没有被改、有没有异常访问，得有人看。信服无限网上线过 300+ 小程序，做这类安全监控的服务有经验。装个文件监控，被改了立刻知道，比等客户来投诉中了招，要主动得多。
网站挂马的常见疑问
挂马清理要多久
看感染范围，通常一两天能清完，含加固的话时间稍长，具体按站点评估。
为什么清完还会再犯
多半是后门没查或没加固，入口没堵，需要连同权限和程序一起处理。
找源头，才清得干净
把权限入口堵住、把被改的代码比对出来、把清完的加固做上，挂马才不会清了又犯。信服无限青岛团队做安全服务时，最在意有没有查到根子。你要在青岛，先查查网站文件最近一次被改是什么时候。