织梦dedecms被挂马后首页反复被篡改_识别与解密专杀_防止黑客二次进入
织梦dedecms的顽固木马之所以难以清除，是因为黑客通常不会只上传一个木马文件，而是会在多个位置留下后门：include目录中的核心文件被篡改、data目录中隐藏加密木马、plus目录的功能文件被注入代码、数据库中插入恶意管理员、模板文件被植入JS代码、定时任务中添加自我复制脚本。只清除其中一两个，其他的会重新生成木马。必须进行全面排查，一次性清除所有后门。
第二步是搜索危险函数和特征码。使用grep或文件搜索工具，在全站PHP文件中搜索以下关键词：eval、assert、system、exec、shell_exec、passthru、base64_decode、gzinflate、str_rot13、preg_replace（带/e修饰符）、create_function、call_user_func、${${、$_POST、$_GET、$_REQUEST、$_COOKIE。正常的DedeCMS文件中很少同时出现多个危险函数，如果某个文件中包含eval(base64_decode(...))或assert($_POST[...])这样的代码，基本可以确定是木马。
DedeCMS顽固木马的检测分为工具扫描和手动排查两个阶段。工具扫描阶段，可以使用以下工具：DedeCMS官方提供的木马专杀工具（dede_kill）、安全狗Web查杀、云锁木马查杀、360网站安全检测、百度云观测。这些工具可以扫描出大部分已知特征的木马。扫描时注意选择全站扫描，不要只扫描Web根目录，因为木马可能隐藏在Web根目录之外的目录中。扫描完成后记录所有可疑文件的路径，不要急于删除，先进行人工确认。
清除顽固木马需要按照一定的顺序进行，避免清除过程中木马重新生成。第一步是切断木马的自我复制机制。检查crontab定时任务（如果是独立服务器），删除可疑的定时任务。检查DedeCMS后台的计划任务，删除不认识的任务。检查是否有守护进程在运行，使用ps aux查看进程列表，杀掉可疑进程。检查include/common.inc.php等核心入口文件是否被植入了自动生成木马的代码。切断复制机制后，再删除木马文件才不会反复生成。
第三步是清除数据库层面的后门。登录phpMyAdmin或数据库管理工具，检查以下内容：管理员表（dede_admin）中是否有陌生的管理员账户，有则删除。文章表（dede_archives）和附加表中是否有被植入的恶意JS代码和黑链，使用SQL语句批量替换清除。设置表（dede_sysconfig）中是否有被篡改的配置项，恢复正常值。模板表（dede_tpl）中是否有被植入恶意代码的模板，清除恶意代码。数据库用户中是否有陌生的用户，删除并撤销权限。
专杀完成后需要验证是否清除干净。验证方法包括：第一，重新运行所有木马扫描工具，确认没有木马残留。第二，手动检查关键目录的文件列表，与官方文件列表对比，确认没有多余的文件。第三，检查所有管理员账户和系统账户，确认没有陌生账户。第四，监控24到72小时，观察是否有新的可疑文件生成、是否有异常的后台登录、是否有异常的网络连接。如果72小时内没有异常，基本可以确认清除干净。
站长反馈：DedeCMS网站被挂马后，用了好几个专杀工具都没彻底清除，木马每天都会重新出现。后来按照完整流程排查，发现是include/common.inc.php被植入了自动生成木马的代码，每次访问网站就会在data目录生成一个新的木马。清除了核心文件中的恶意代码后，木马不再生成，问题彻底解决。
专杀提醒：清除DedeCMS顽固木马时，不要只依赖专杀工具，必须结合手动排查和文件校验和对比。工具只能识别已知特征的木马，对于加密混淆和自定义特征的木马无能为力。全面排查、一次性清除所有后门，才能避免反复被挂马。
更新时间：2026-08-27 11:57:42