网站安全_网站会员数据被修改应急
很多站长遇到网站会员数据被修改只删可见恶意文件，过几天又被黑。黑客通常留多个后门（webshell/计划任务/隐藏用户/恶意JS），要全面扫描。专业工具 + 手动查核心文件哈希，确保后门全清。
木马扫描：find /www/wwwroot -name "*.php" -mtime -7找最近修改文件；grep -r "eval|base64_decode|gzinflate|assert|system" 搜危险函数；专业工具（河马webshell查杀/云锁/安全狗）；对比官方程序哈希找被篡改文件。重点看upload、template、runtime、config目录。
参考（Nginx安全加固）： ``` # 禁止上传目录执行PHP location ~* ^/(upload|uploads|data|attachment)/.*.php$ { deny all; }
# 禁止敏感文件 location ~* .(sql|bak|zip|tar|gz|log|sh)$ { deny all; }
# 后台IP白名单 location ~* /admin.php$ { allow 你的IP; deny all; fastcgi_pass unix:/tmp/php-cgi.sock; include fastcgi.conf; }
# 隐藏版本 expose_php = Off # php.ini server_tokens off; # nginx
# 禁止目录浏览 autoindex off; # Nginx Options -Indexes # Apache .htaccess
# 安全头 add_header X-Frame-Options SAMEORIGIN; add_header X-Content-Type-Options nosniff; add_header X-XSS-Protection "1; mode=block"; ```
后台地址暴露是网站会员数据被修改的常见入口。弱密码改复杂密码（12位大小写数字符号）；上传漏洞禁upload执行PHP + 校验文件类型；SQL注入用PDO预处理 + 过滤输入；CMS漏洞升级最新版；备份文件删除或移到web外；phpMyAdmin改路径 + IP白名单 + 强密码。
webshell特征：eval/assert/系统命令函数；base64_decode解码执行；gzinflate压缩隐藏；preg_replace /e执行；文件权限777；修改时间在被黑时段；文件名伪装（.php.jpg、index.php.bak）。扫描重点看这些特征。
更新时间：2026-09-03 13:36:32