虚拟主机网站被CC攻击_安全加固
网站被CC攻击的处理流程：备份被黑状态 → 改所有密码 → 扫描木马文件（webshell、恶意代码）→ 清理篡改内容 → 排查入侵入口（漏洞、弱密码）→ 补漏洞 → 安全加固 → 提交百度申诉 → 监控。七步走完才能彻底解决，只清木马不补漏洞等于没修。
常见入侵入口：弱密码（后台/FTP/SSH 被爆破，用123456、admin 等弱密码）；上传漏洞（上传目录允许执行 PHP，上传 webshell）；SQL 注入（获取管理员密码或写入 webshell）；CMS 或插件已知漏洞（未及时升级）；备份文件泄露（.sql、.bak、.zip 被下载）；phpMyAdmin 弱密码。
参考（网站被黑排查命令）： ``` # 找最近7天修改的PHP文件 find /www/wwwroot/域名 -name "*.php" -mtime -7 -ls
# 搜危险函数 grep -r "eval(" /www/wwwroot/域名 --include="*.php" grep -r "base64_decode" /www/wwwroot/域名 --include="*.php" grep -r "gzinflate" /www/wwwroot/域名 --include="*.php" grep -r "assert(" /www/wwwroot/域名 --include="*.php" grep -r "system(" /www/wwwroot/域名 --include="*.php"
# 找异常权限文件 find /www/wwwroot/域名 -perm 777 -ls
# 看异常进程 ps aux | grep -E "php|curl|wget|python" | grep -v grep
# 看计划任务 crontab -l cat /etc/crontab
# 访问日志找异常POST grep "POST" /www/wwwlogs/域名.log | awk '{print $1}' | sort | uniq -c | sort -rn | head -20
# 看登录日志 last -20 cat /var/log/secure | grep "Accepted" ```
长期安全防护：定期备份（每天自动备份）；及时升级 CMS 和插件；强密码 + 定期更换；后台地址隐藏 + IP 白名单；上传目录禁执行 PHP；安装 WAF（云锁、安全狗、宝塔防火墙）；监控文件变化（inotify 或面板文件校验）；SSL 加密传输；定期安全扫描。
webshell 特征：一句话木马 eval/assert/系统命令函数；base64_decode 解码后执行；gzinflate 压缩隐藏；preg_replace /e 修饰符执行；文件权限异常（777）；修改时间在被黑时间段；文件名伪装（.php.jpg、index.php.bak）。扫描时重点看这些特征。
更新时间：2026-08-26 23:22:04
上一篇：数据库端口错误_备份与密码重置