日照一家做家装的公司，一天收到客户电话："你们网站是不是有毒？我打开网页，杀毒软件就报警。"老板赶紧打开网站一看，页面正常啊。但客户说的没错——网站被挂马了：黑客在网页代码里植入了恶意脚本，正常浏览器打开没事，但某些安全软件会拦截报警。更麻烦的是，百度检测到网站有恶意代码，直接提示"该网站可能存在安全风险"，客户访问前就被吓跑了。挂马这事，处理要快，步骤要准。
识别：怎么发现网站被挂马
挂马的常见症状：一，用户访问时杀毒软件报警（最常见）；二，页面被篡改（出现广告、赌博、色情内容）；三，百度/浏览器提示"危险网站"；四，网站流量异常（恶意脚本引流）；五，服务器CPU异常（挖矿脚本）。自查方法：用"站长工具"的"网站安全检测"（免费），或360网站检测、阿里云云安全中心，定期扫一遍。日照这家家装公司就是靠客户反馈+百度提示发现的，其实更早应该主动检测。
清除：三步把马揪出来
第一步，备份+下线：先把网站文件备份，然后临时关闭网站（或挂维护页），防止恶意代码继续传播。第二步，找马源：用安全软件全盘扫描（安全狗、云锁、D盾等），重点查这些位置：网站根目录的index文件（常被篡改）、上传目录（常被放webshell木马）、数据库（可能有恶意SQL注入留下的后门）。日照这家家装公司另外在"uploads"上传目录里发现了一个伪装成图片的PHP木马文件（一句话木马），删除后网站恢复正常。第三步，改密码+清理：改所有密码（服务器、数据库、后台、FTP），清理可疑账号和计划任务（黑客可能留了后门账号）。
加固：别让黑客"二进宫"
清除后必须加固，否则很快会被再次入侵：一，堵上传漏洞（上传目录禁止执行PHP，这是挂马最常走的门）；二，更新程序（网站CMS、插件、模板全部更新到最新版，漏洞多出在旧版本）；三，装网站防火墙（WAF——云WAF或软件WAF，拦截恶意请求）；四，改后台路径（默认的/admin改成复杂路径，减少被扫描）；五，定期扫描（每周用安全检测工具扫一次）。日照这家家装公司加固后，半年内又挡掉了3次攻击尝试（防火墙日志可见），再没被挂过马。
挂马的连锁损失要认清
挂马不只是"网站有点毒"：一，客户信任损失（客户电脑报警，以后不敢打开你网站）；二，百度降权（被标记危险网站，排名下降甚至收录被删，SEO努力白费）；三，法律风险（恶意代码导致用户损失，企业可能要担责）；四，服务器风险（木马可能窃取服务器数据、挖矿拖垮服务器）。日照这家家装公司处理完挂马后，向百度提交了"网站申诉"（百度站长平台），一周后危险提示解除，排名慢慢恢复。预防永远比处理便宜：一套网站防火墙一年几百到几千，一次挂马处理加损失可能上万。说白了，网站安全是"每天5分钟检查，省下上万损失"的事。