网站配置安全检测：HTTPS权限头信息检查_网站安全_防黑防挂马_安全加固
处理过几十个站点的网站安全问题，发现80%的故障都出在同样的几个地方。把这些高频故障点和对应解法整理出来，遇到问题先对照检查，大部分情况能快速定位。
网站挂马是被黑的常见形式。页面被植入恶意JS代码，访问者跳转到赌博色情站点，或者被下载病毒。挂马代码通常做了混淆加密，直接搜特征码不容易找到。
一步步来，先做什么再做什么都写清楚。
网站挂马先定位恶意代码。浏览器开发者工具看网络请求，找到异常请求的来源。查看页面源代码搜索script、iframe、eval这些关键词。挂马代码通常做了混淆，比如String.fromCharCode、unescape、十六进制编码，需要解密后才能看到真实地址。
挂马代码可能藏在多个地方。模板文件、数据库文章内容、JS文件、图片马、.htaccess、配置文件都可能被注入。逐个检查修改时间异常的文件，对比备份找出差异。数据库里搜恶意域名和关键词，找到被篡改的记录。
清除挂马代码。文件层面从备份恢复或者手动删除恶意代码，数据库层面用UPDATE替换恶意内容。清除后不要急着上线，先找漏洞原因。挂马通常是通过后台弱密码、上传漏洞、CMS漏洞进来的，不修补漏洞清除了还会被再次挂马。
修补漏洞和加固。升级CMS和插件到最新版，改所有密码，上传目录禁PHP执行，配置WAF规则。提交百度站长平台申诉，说明被黑已清理，请求更新抓取。观察收录和排名恢复情况，一般1到4周能恢复。
提醒几个关键注意点，避免操作失误。
定期审查用户和权限。后台管理员、FTP账号、数据库账号、SSH账号，不用的及时删除，权限过大的降级。多人维护用独立账号，不要共用账号，出问题能追溯到人。人员变动后立即禁用账号和更换密码。
改完配置记得重载服务。Nginx改完nginx -s reload，PHP改完systemctl restart php-fpm，MySQL改完systemctl restart mysqld。宝塔面板里改完配置点保存会自动重载，但手动改配置文件要自己重载。
更新前看更新日志和兼容性。CMS大版本升级可能不兼容旧模板和插件，PHP升级可能导致旧代码报错，系统更新可能影响服务配置。先在测试环境验证，备份后再升级生产环境，升级完全面测试功能。
处理过程中有人问得比较多的问题，整理在下面。
问：怎么判断是服务器问题还是程序问题？答：放一个静态HTML文件和phpinfo.php文件，能正常访问说明服务器和PHP环境没问题，问题在程序。静态文件也打不开就是服务器或者网络问题，phpinfo打不开就是PHP配置问题。这样快速分层定位。
问：数据库密码忘记了怎么办？答：有服务器权限的话MySQL安全模式启动重置密码，或者看网站配置文件里存的数据库密码。宝塔面板在数据库管理里能看密码（点眼睛图标）。没服务器权限找主机商重置。
网站维护是细致活，各类问题处理思路相通：先定位再动手，先备份再操作，先测试再上线。把这篇文章收藏，遇到对应问题对照步骤处理，节省大量排查时间。不清楚的地方建议测试环境验证后再上生产。
更新时间：2026-09-03 13:40:48
上一篇：阿里云虚拟主机多域名统一 301 到首选域返回301_Apache .htaccess与IIS web.config对照