做设计图的网站被黑？3个免费工具帮你找回主动权

网站上线刚一周，后台突然弹出一堆奇怪的跳转链接，页面代码里多了看不懂的乱码。这种“网站被黑挂马”的噩梦，很多做设计图的网站负责人都经历过。别慌，这时候盲目删文件或者重装系统往往治标不治本。

在陕西做网站建设，很多初创团队预算有限，往往忽略安全防护，导致被低成本的黑产脚本盯上。今天咱们不聊虚的，直接上干货。结合我十年实操经验，分享如何用几个免费工具，快速排查并修复被篡改的网站，特别是针对做设计图、展示类站点，这类站点静态资源多，极易成为攻击目标。

需求分析与痛点定位

做设计图的网站，核心资产是图片、字体和前端交互代码。这类网站通常使用 WordPress、Hugo 或自定义 React/Vue 构建。被黑挂马后，最常见的症状有三个：浏览器地址栏出现红色警告、页面随机跳转到博彩或色情网站、SEO 收录突然下降甚至被 Google 标记为“不安全”。

很多老板第一反应是“找黑客公司”，结果花了几千块，对方只给个远程桌面，修完过两天又复发。这是因为没搞清楚攻击入口。

核心痛点拆解：

1. 入口未知：是后台弱口令？是插件漏洞？还是服务器 SSH 被爆破？
2. 文件污染：哪些文件被改了？是 .php 文件注入，还是 .html/.js 文件被替换？
3. 恢复成本：没有完整备份，修复耗时过长，影响客户交付。

在陕西，不少设计工作室刚起步，团队里可能没有专职运维，全靠前端或后端兼职。这时候，利用开源社区和云服务商提供的免费工具进行自查自纠，是性价比最高的方案。

环境准备与工具清单

在动手修复前，必须做好三件事：隔离环境、备份现状、准备工具。

1. 隔离与备份（至关重要）

• 立即隔离：如果网站还在运行，先通过 DNS 解析暂停访问，或者在 Web 服务器（Nginx/Apache）层面禁止外网访问，只允许你的 IP 访问。防止更多用户被劫持，也防止黑客继续操作。
• 全盘备份：不要只备份代码！使用 tar 或 rsync 命令，将 Web 根目录、数据库、配置文件、日志文件全部打包。

  # Linux 服务器备份示例
  # 假设网站根目录在 /var/www/html，备份到 /backup
  tar -czvf /backup/site_backup_$(date +%F).tar.gz /var/www/html
  # 备份数据库 (以 MySQL 为例)
  mysqldump -u root -p your_db_name > /backup/db_backup_$(date +%F).sql
  

  注意：备份文件不要放在 Web 可访问目录下，最好传输到本地或对象存储。

2. 免费工具清单

• ClamAV：Linux 下的轻量级杀毒软件，用于扫描病毒文件。
• Cloudflare 免费计划：提供 CDN 加速、基础 WAF（Web 应用防火墙）和 DDoS 防护。
• Grep/Find 命令：Linux 原生工具，用于搜索恶意代码特征。
• File Integrity Monitoring (FIM) 脚本：用于对比文件哈希值，找出被篡改的文件。

3. 权威参考 在进行配置加固时，务必参考 Cloudflare 文档 中关于“Web Application Firewall Rules”的部分。Cloudflare 提供了详细的免费规则集，可以有效拦截常见的 SQL 注入和 XSS 攻击。很多新手以为 Cloudflare 只有付费版才安全，其实其免费版的 Bot Management 和 WAF 基础规则已经能拦截 90% 的低级攻击。

核心步骤：排查与清理

这一步是硬仗。我们需要找出黑客留下的后门，并清理干净。

步骤一：扫描病毒文件

安装 ClamAV 并更新病毒库。

# Ubuntu/Debian 安装 ClamAV
sudo apt-get update
sudo apt-get install clamav clamav-daemon
sudo freshclam # 更新病毒库，可能需要几分钟

执行扫描：

# 扫描网站目录，输出结果到日志
sudo clamscan -r /var/www/html --log=/var/log/clamscan.log

检查 /var/log/clamscan.log，重点关注 INFECTED 标记的文件。常见感染文件类型包括 .php, .phtml, .htaccess, .js, .css。

步骤二：手动搜索恶意代码特征

黑客通常喜欢把代码混淆或隐藏在注释中。我们可以用 grep 搜索一些常见的危险函数或特征字符串。

# 搜索 eval 函数（常见于 PHP 后门）
grep -rn "eval(" /var/www/html --include="*.php"# 搜索 base64_decode（常用于解码恶意代码）
grep -rn "base64_decode(" /var/www/html --include="*.php"# 搜索 system/exec/passthru（常用于执行系统命令）
grep -rn "system(\|exec(\|passthru(" /var/www/html --include="*.php"

注意：正常的代码库中也可能存在这些函数，需要人工判断上下文。如果某行代码看起来莫名其妙，且位于你不熟悉的文件中，极大概率是后门。

步骤三：清理 .htaccess 和 robots.txt

黑客常通过修改 .htaccess 来隐藏恶意文件，或修改 robots.txt 屏蔽搜索引擎抓取正常页面，转而抓取恶意页面。

• 检查 .htaccess：确保没有奇怪的 RewriteRule 指向未知域名。
• 检查 robots.txt：确保没有 Disallow: / 这样的全禁规则。

步骤四：数据库排查

如果网站有用户交互（如评论、留言），检查数据库表。

-- 查找最近被修改的记录，特别是包含链接或脚本的字段
SELECT * FROM comments ORDER BY created_at DESC LIMIT 100;

删除所有包含可疑 URL 或 <script> 标签的评论。

代码与配置示例：加固与预防

清理完后门，必须进行加固，否则很快会被再次入侵。

示例 1：Nginx 安全头部配置

在 Nginx 的 server 块中添加以下配置，提升网站安全性。这些设置能防止点击劫持、强制 HTTPS 等。

server {listen 443 ssl;server_name your-domain.com;# ... 其他配置 ...# 安全头部配置add_header X-Frame-Options "SAMEORIGIN" always;add_header X-Content-Type-Options "nosniff" always;add_header X-XSS-Protection "1; mode=block" always;add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;add_header Referrer-Policy "strict-origin-when-cross-origin" always;# 隐藏服务器版本信息，防止针对性攻击server_tokens off;# 禁止访问敏感文件location ~ /\.(?!well-known).* {deny all;}# 禁止访问备份文件location ~* \.(bak|sql|log|sh|ini)$ {deny all;}
}

关键点：server_tokens off 非常重要，它能隐藏 Nginx 的具体版本号，减少黑客利用已知漏洞进行攻击的机会。

示例 2：Cloudflare 免费 WAF 规则配置

登录 Cloudflare 控制台，进入 Security > WAF > Custom Rules。添加一条规则，拦截常见的恶意 User-Agent 或请求路径。

规则名称：Block Common Malicious Paths 表达式：

(http.request.uri.path contains "/wp-admin" and ip.src.country ne "CN") or (http.request.uri.path contains "/.env") or (http.request.uri.path contains "/config.php.bak")

操作：Block 优先级：High

解释：

1. 如果请求路径包含 /wp-admin 且来源 IP 不在中国（假设你的用户主要在国内），则拦截。这能有效阻止海外僵尸网络的爆破。
2. 直接拦截对 .env 文件和备份文件的访问，防止敏感信息泄露。

此外，启用 Cloudflare 的 Bot Fight Mode（免费版可用）。这能自动识别并挑战非人类流量，减少 CC 攻击和恶意爬取。

常见报错与解决

问题 1：ClamAV 扫描速度极慢，服务器 CPU 飙升

• 原因：默认扫描会检查所有文件，包括大型设计图（PNG/JPG）。
• 解决：在 clamscan 命令中添加 --exclude-dir 参数，排除静态资源目录。

  sudo clamscan -r /var/www/html --exclude-dir=/var/www/html/images --exclude-dir=/var/www/html/assets
  

  或者只扫描脚本文件：

  sudo clamscan -r /var/www/html --include="*.php" --include="*.js" --include="*.html"
  

问题 2：Cloudflare 配置后，网站无法访问或显示 522/521 错误

• 原因：源站防火墙屏蔽了 Cloudflare 的 IP 段，或者 SSL 模式配置错误。
• 解决：
  1. 在源站防火墙（如 UFW、安全组）中，添加 Cloudflare 的 IP 白名单。Cloudflare 提供了专门的 IP 列表页面，可直接下载配置。
  2. 检查 Cloudflare 的 SSL/TLS 模式。如果源站没有 SSL 证书，选择 "Full (Strict)" 会导致 521 错误。此时应暂时改为 "Full" 或 "Flexible"，并尽快给源站安装免费 SSL 证书（如 Let's Encrypt）。

问题 3：修改 Nginx 配置后，网站 500 错误

• 原因：配置语法错误。
• 解决：运行 nginx -t 检查配置语法。如果提示 syntax is ok 但仍报错，检查 error.log 查看具体原因。常见原因是 add_header 指令放错了位置，或者 location 块嵌套错误。

小结与持续运维

做设计图的网站，技术栈可能简单，但安全防线不能简单。

复盘本次流程：

1. 隔离：防止损失扩大。
2. 备份：确保有退路。
3. 扫描：ClamAV + Grep 找出后门。
4. 清理：删除恶意文件，清洗数据库。
5. 加固：Nginx 头部 + Cloudflare WAF。
6. 监控：定期检查日志。

后续建议：

• 定期更新：CMS 系统、插件、主题必须保持最新版本。很多漏洞是已知但未修补的。
• 最小权限原则：Web 服务器用户（如 www-data）不应拥有 root 权限。文件权限应设为 644，目录设为 755。
• 异地备份：每周自动将数据库和代码备份到对象存储（如阿里云 OSS、腾讯云 COS），并保留至少 3 份历史版本。

在陕西，很多设计团队认为“安全是大公司的事”，但现实是，小网站因为数据少、防护弱，反而更容易被批量攻击。利用 Cloudflare 文档 中的最佳实践，结合上述 免费工具，你完全可以构建一套低成本但有效的安全体系。

别等到网站被黑、客户投诉、SEO 掉榜时才后悔。现在就去检查你的服务器日志和文件权限。

你的网站用的什么技术栈？评论区聊聊，看看有多少人跟我一样踩过这些坑。