虚拟主机被入侵web.config 被注入跳转_文件对比与数据库清理
web.config 被注入跳转时先确认入侵范围。登录 FTP 看文件修改时间，最近被修改的核心文件（index.php、.htaccess、web.config、配置文件）大概率被注入。扫描目录下的未知文件（特别是以 .php 结尾的图片、名字随机的脚本），这些是 webshell 后门。
webshell 后门特征：文件名随机（a1b2c3.php、shell.php、cmd.php）、文件大小几 KB 到几十 KB、包含 eval/assert/system/passthru/preg_replace /e 等危险函数、修改时间与其他文件不一致。用扫描工具（find 命令按修改时间、Wordfence、安全狗）能快速定位，手动删除后要查清楚入口。
参考（维护页 503（清理期间临时使用））： ``` # Apache .htaccess RewriteEngine On RewriteCond %{REMOTE_ADDR} !你的办公IP RewriteRule .* - [R=503,L] ErrorDocument 503 /maintenance.html ```
挂马后的 SEO 恢复要有耐心。百度对被入侵站点有观察期，清理后短期内收录和排名不会立刻恢复。持续提交正常页面、保持服务器稳定、内容正常更新，2 到 8 周后收录逐步恢复。如果 3 个月仍未恢复，考虑域名改版到新域名，301 跳转传递权重。
反复被挂马说明有深层后门。常见隐藏方式：.htaccess 里的 php_value auto_prepend_file 全局注入、图片里的 polyglot webshell、数据库里的一句话后门、计划任务（crontab）定期重建后门。清理后 3 天内文件再次被修改，立即联系主机商做全盘安全扫描，或备份数据后重装站点。
挂马清理后的安全加固清单：FTP 密码改 16 位以上、后台路径改掉并限制 IP、CMS 和插件升级到最新版、删除不用的插件和模板、上传目录禁止执行 PHP（Apache 用 .htaccess 的 RemoveHandler，IIS 用 handler 映射）、数据库密码改强、每周自动备份。六项全部做完，再次被入侵的概率降到 5% 以下。
更新时间：2026-08-30 11:58:30
上一篇：PbootCMS修改首页模板_index.html文件编辑与标签使用