网站源代码被篡改是典型的安全事件，需按 “紧急止损→溯源排查→彻底修复→加固防护→事后复盘” 的流程处理，避免问题反复或损失扩大。以下是分步骤的详细解决方案：
一、紧急止损：先阻断恶意影响
核心目标是先停止恶意代码的传播、避免用户访问篡改内容，同时保护数据不被进一步窃取。
临时下线 / 隔离受影响站点
若篡改内容涉及违法、钓鱼、恶意广告，立即将网站临时下线（如关闭 Web 服务、修改 DNS 解析指向静态维护页），避免被搜索引擎 / 监管标记；
对独立服务器 / 容器，可先隔离受影响的网站目录（如重命名根目录），仅保留必要的核心服务。
切断可疑访问链路
登录服务器 / 云控制台，关闭非必要的端口（如 22、3389、8080 等），仅保留运维所需的最小端口；
封禁异常 IP（如近期大量尝试登录、高频访问后台的 IP），可通过防火墙 / 安全组临时拦截。
备份当前篡改状态（关键）
不要直接删除篡改代码！先完整备份被篡改的文件、服务器日志（Web 访问日志、系统登录日志、进程日志）、数据库备份，用于后续溯源；
备份方式：打包网站目录（tar -zcvf hacked_20251209.tar.gz /Var/www/html）、导出日志文件，存储到离线设备（如本地硬盘）。
二、溯源排查：定位篡改原因（核心步骤）
只有找到根源，才能避免修复后再次被篡改，重点排查以下维度：
1. 排查篡改入口
账号安全：
检查网站后台管理员账号、服务器 SSH / 远程桌面账号，是否存在弱密码、异常登录记录（如陌生 IP 登录、非工作时间登录）；
查看是否有新增的可疑账号（如管理员列表中多出的未知账号），立即禁用 / 删除。
漏洞利用：
代码层面：检查是否存在 SQL 注入、XSS、文件上传漏洞、代码执行漏洞（如 PHP 的eval注入、Python 的命令执行）；
框架 / 插件层面：若使用 CMS（WordPress / 织梦 / ThinkPHP）、第三方插件 / 组件，检查是否使用了未打补丁的老旧版本（如 WordPress 插件漏洞、Log4j、Struts2 等高危漏洞）；
服务器层面：检查是否存在提权漏洞（如 sudo 权限配置错误、系统内核漏洞）、未授权访问（如 Redis 未设密码、数据库暴露公网）。
恶意文件 / 进程：
搜索网站目录下的可疑文件（如后缀为.php/.jsp的未知文件、修改时间异常的文件、包含base64_decode/exec/shell_exec的恶意代码）；
查看服务器进程（ps -ef/ 任务管理器），排查异常进程（如占用高 CPU、名称随机的进程）、定时任务（crontab -l/Windows 计划任务），是否有周期性执行的恶意脚本。
日志分析：
Web 日志：查看是否有异常请求（如/admin/login.php?user=1' or 1=1、上传webshell的请求）；
系统日志：查看/var/log/auth.log（Linux）、事件查看器（Windows），是否有暴力破解、成功登录的记录；
数据库日志：查看是否有批量修改数据、导出数据的操作记录。
2. 确定篡改范围
仅前端静态文件（HTML/CSS/JS）篡改？还是后端代码（PHP/Java）被植入 webshell？
数据库是否被篡改（如管理员密码、网站内容被修改）？
服务器是否被植入挖矿程序、木马等后门？
三、彻底修复：清除恶意代码 + 恢复正常内容
注意：若服务器已被植入顽固后门（如内核级木马），建议直接重装系统，避免 “清理不彻底”。
恢复干净的网站代码
从离线备份（如本地、私有仓库）中提取最近一次未被篡改的代码版本，覆盖服务器上的恶意文件；
若使用 Git 等版本控制，回滚到篡改前的提交（git reset --hard <commit-id>），并检查提交记录是否有异常。
清理恶意文件 / 进程
删除网站目录下的未知文件、webshell（如xxx.php、shell.jsp）；
终止异常进程（kill -9 <pid>），删除定时任务中的恶意脚本（crontab -e）；
扫描服务器是否有隐藏文件、恶意启动项（如 Linux 的/etc/rc.d/、Windows 的注册表HKLM\Software\Microsoft\Windows\CurrentVersion\Run）。
重置所有密码 / 密钥
网站后台管理员密码（设置复杂度：大小写 + 数字 + 特殊字符，长度≥12）；
服务器 SSH / 远程桌面密码、数据库密码（MySQL/Redis 等）；
云服务密钥（AccessKey/SecretKey）、FTP/SFTP 账号密码；
若使用 SSH 密钥登录，删除未知的公钥（~/.ssh/authorized_keys），重新生成密钥对。
修复漏洞
升级所有组件：CMS 版本、插件 / 依赖（如npm update、composer update）、服务器系统（yum update/apt upgrade）；
修复代码漏洞：过滤用户输入（防 SQL 注入 / XSS）、限制文件上传类型（仅允许必要格式，如图片）、关闭危险函数（如 PHP 的exec/system）；
配置权限：网站目录 / 文件设置最小权限（如 Web 用户仅读，禁止写 / 执行），数据库账号仅授予必要权限（如禁止DROP/ALTER）。
恢复数据库（若被篡改）
从离线备份恢复数据库，覆盖被篡改的数据；
检查数据库是否有新增的恶意存储过程、触发器，立即删除。
四、加固防护：防止再次被篡改
修复后需从 “访问控制、监控、安全策略” 多维度加固：
访问控制加固
后台地址隐藏：将默认后台地址（如/admin）改为随机路径（如/a897b23k），并限制仅允许指定 IP 访问（通过 Nginx/Apache/ 安全组）；
开启二次验证：后台登录、服务器登录开启 2FA（如 Google Authenticator、短信验证）；
禁用危险服务：关闭不必要的服务（如 FTP、Telnet），改用 SFTP；禁止 root / 管理员账号直接登录服务器，创建普通账号 + sudo 权限。
安全监控与审计
部署 Web 应用防火墙（WAF）：拦截 SQL 注入、XSS、webshell 上传、暴力破解等攻击（如阿里云 WAF、Cloudflare、开源的 ModSecurity）；
开启日志审计：实时监控 Web 访问日志、系统登录日志，设置异常告警（如多次登录失败、批量修改文件）；
定期扫描漏洞：使用工具（如 Nessus、AWVS、OpenVAS）每月扫描网站 / 服务器漏洞，及时修复；
文件完整性监控：对网站核心文件（如 index.php、配置文件）做哈希校验，一旦文件被修改立即告警（如使用 Tripwire、OSSEC）。
备份策略升级
采用 “3-2-1 备份原则”：3 份备份、2 种介质（本地 + 云）、1 份离线备份；
自动备份：每日增量备份、每周全量备份，备份文件加密存储，定期测试恢复有效性。
服务器安全加固
关闭不必要的端口和服务，仅开放 80/443（Web）、22（SSH，且仅允许指定 IP）；
配置防火墙 / 安全组：仅放行必要的 IP 和端口，拒绝所有未知访问；
禁用危险函数 / 配置：PHP 禁用eval/exec/passthru，Java 关闭远程调试，Redis 绑定本地 IP 并设置密码。
五、事后复盘：避免重复踩坑
整理篡改事件的时间线：何时被篡改、入口是什么、篡改范围、修复耗时；
追责与整改：若因弱密码 / 未升级漏洞导致，明确责任人，完善安全制度（如定期密码更换、漏洞修复流程）；
员工安全培训：提升开发 / 运维人员的安全意识，避免使用弱密码、随意安装未知插件、泄露账号信息。
特殊场景处理
若篡改内容涉及违法信息：立即清理并保留证据，主动联系当地网安部门说明情况，避免被处罚；
若网站有 CDN 缓存：清空 CDN 缓存，避免用户仍访问到篡改后的内容；
若为云服务器：可借助云厂商的安全工具（如阿里云安全中心、腾讯云主机安全）查杀恶意文件、拦截攻击。
总结：网站源代码篡改的核心是 “先止损、再溯源、彻底修、强防护”，切勿仅删除恶意代码就结束，必须找到根源并加固，否则极易再次被攻击。如果技术能力不足，可委托专业的网络安全公司协助排查和修复。
Apple-system, BlinkMacSystemFont, "Helvetica Neue", "PingFang SC", "Microsoft YaHei", "Source Han Sans SC", "Noto Sans CJK SC", "WenQuanYi Micro Hei", "MiSans L3", "Segoe UI", sans-serif; font-size: 15px; text-wrap-mode: wrap; background-color: rgb(255, 255, 255);">