如何检查网站是否有病毒：逐步指南
如何检查网站是否有病毒：逐步指南
当网站开始表现异常时，通常不会立即被注意到。某处出现了多余的重定向，某处浏览器警告有危险内容，有时问题只有在用户投诉或收到主机提供商的邮件后才会浮现。在这种情况下，重要的是不要惊慌，也不要在管理面板上随意点击所有按钮。首先需要了解要寻找什么以及如何安全地检查网站。
检查网站是否有病毒不仅仅是启动一个在线扫描器。有时涉及到嵌入模板中的恶意代码，有时是某人将钓鱼页面放入网站文件夹中，有时是隐藏的重定向，仅在特定条件下将访问者发送到其他资源。也有可能网站形式上是“干净的”，但主题中的某个文件被感染，这已经足以让搜索引擎开始警惕。
如果您想快速了解相关主题，您可以使用 网站欺诈检查指南。这里的逻辑部分相同：重要的是不仅要关注技术，还要关注声誉、页面行为和网站上的奇怪痕迹。
什么是“检查网站是否有病毒”，以及何时需要这样做
在口语中，“病毒”这个词通常指的是各种各样的东西：恶意JavaScript、钓鱼页面、嵌入的iframe、链接替换、垃圾邮件脚本、隐藏重定向，甚至是恼人的弹出窗口。实际上，区分这些东西是有用的，因为检查和删除的方法会有所不同。
钓鱼是指网站或其页面假装成其他东西：登录表单、银行、网上商店、支付页面。目的很简单——窃取数据。恶意代码是一个更广泛的概念。这可能是一个嵌入广告的脚本、加载外部文件、窃取会话或为攻击者打开访问权限。隐藏重定向是另一个故事：访客似乎打开了您的网站，但一秒钟后却出现在完全不同的地址上。而这一切在正常浏览主页时可能是看不见的。
如果出现以下情况，则需要快速检查网站是否存在恶意代码：
- 浏览器或杀毒软件警告存在危险；
- 访客抱怨弹出窗口、重定向或奇怪的请求；
- 搜索引擎将网站标记为可疑；
- 管理面板出现了未知用户或文件；
- 网站在安装插件、主题或更新后开始表现异常；
- 日志中明显有对您未添加的文件的访问。
还有一个实用的点：并非所有问题都与网站本身有关。有时管理员的计算机会被感染，然后恶意代码通过FTP或控制面板重新导入CMS。因此，网站检查几乎总是与工作设备的检查一起进行。
检查前的准备：保存什么以及在哪里不要点击
在打开可疑网站和启动扫描器之前，应该准备好最基本的保护。这不是偏执，而是正常的卫生。您不会用赤手去碰电箱——对网站也是同样的逻辑，只是风险不同。
首先保存重要数据。如果您可以访问托管和控制面板，请备份文件和数据库。即使备份已经很旧，它也可以帮助您比较具体发生了什么变化。如果没有访问权限，至少导出文件列表并记录当前情况：修改日期、大小、可疑名称。
接下来是打开网站时的谨慎。如果有疑虑，请不要使用主要工作设备访问。最好使用单独的浏览器配置文件、更新的防病毒软件，并尽可能在隔离环境中进行操作。在您了解该文件是什么之前，不要手动从网站下载任何内容。不要在公共Wi‑Fi上登录管理面板。也不要打开在访问后突然“推荐”下载的附件或压缩文件。
如果网站已经引起了怀疑，不要立即清除缓存、删除“所有多余的内容”并盲目重新安装CMS。首先要记录下痕迹。然后更容易理解问题的来源。有时根目录中的一个奇怪文件比三小时的无序清理更能提供线索。
在线检查网站是否有病毒：快速服务及其使用方法
在线检查网站是否有病毒是了解是否存在明显感染迹象的最快方式。这些服务通常不需要访问主机：您输入网站地址，扫描器会检查页面、外部资源、可疑的重定向、黑名单，有时还会检查部分相关文件。
这些服务大致可以分为几种类型。一些服务在HTML和JavaScript中寻找恶意代码的特征。另一些检查域名的声誉和是否在封锁列表中。还有一些研究页面的行为：是否将用户引导到其他地址，是否加载危险内容，是否伪装成钓鱼表单。还有一些组合解决方案，可以同时进行多项检查。
与他们合作很简单，但解读结果时需要小心。一个警告标志并不总是意味着感染。例如，外部脚本可能是合法的分析计数器、广告块或小部件。不过，如果服务显示可疑的重定向，而另一个则在页面代码中显示未知的iframe，这就值得深入挖掘了。
启动多个独立的检查是有益的。这样更容易区分真实问题和误报。并且一定要查看服务发现了什么：页面的URL、特定的代码片段、域名在黑名单中的提及、可疑的跳转链。单纯的“threat detected”并不能解释任何事情。
如果您想同时了解保护的技术方面，值得查看如何检查网站的SSL证书。安全问题往往是相互关联的：某处证书损坏，某处流量不按预期进行，最终用户看到警告并离开。
手动检查网站是否有恶意代码：感染迹象
自动服务很有用，但手动检查通常更准确。特别是当感染深藏在模板中或被插入以便仅在特定页面上触发时。首先查看HTML页面和模板，然后是插件脚本，最后是外部资源的加载链。
哪些迹象应该引起警惕：
- 未知的
脚本
- 块和指向外部域的链接； - 与您的网站无关且未通过页面任务解释的 iframe；
- 通过 JavaScript、meta refresh 或服务器头进行的重定向；
- 用长字符串混淆的代码，没有明确的逻辑；
- 隐藏的表单、字段和 display none 的元素；
- 在页脚、侧边栏、评论或广告块中的意外链接；
- 可疑的 eval、document.write 和类似机制的调用；
- 在意外位置的文件名如 cache.php、temp.php、update.php。
如果网站模板很久没有更新，而突然出现了新的脚本块，这几乎总是一个停下来检查源头的理由。有时，攻击者会将插入伪装成“服务代码”或甚至插入注释，以使文件看起来正常。是的，像“这可能是主题的问题”这样的恶搞通常会导致浪费时间。
单独检查重定向。它们不仅可能在页面代码中，还可能在 .htaccess、服务器配置、插件或 JS 文件中。用户打开主页，过了一秒钟就跳转到另一个网站——有时原因需要在路由规则中寻找，而不是在页面上。
逐步检查文件、CMS 和数据库
如果需要系统的方法，请按层检查网站。这样更容易不遗漏感染源，也不会删除多余的内容。
-
将当前文件与备份或“干净”的 CMS 版本进行比较。寻找新文件、修改日期、异常大小和奇怪的名称。
-
检查CMS核心。如果系统文件发生了变化，这就是一个警告信号。正常情况下，更新应该是透明和可解释的。
-
检查插件和主题。恶意代码通常会在这里嵌入，因为这些文件夹更频繁地更改且不易被注意。
-
在配置文件中寻找可疑的插入。有时感染会存在于很少手动打开的地方。
-
检查数据库中的外部链接、隐藏的HTML插入、新的管理员账户和设置字段中的奇怪值。
-
如果您有备份，请比较感染前后的页面内容。特别注意文本块、页脚和自动输出的字段。
在数据库中，有时不仅隐藏内容，还隐藏加载外部脚本的代码。因此，如果网站在文件中看起来正常，但仍然存在可疑行为，原因可能就在这里。这是一个机械性的问题，“我已经删除了文件，为什么没有帮助？”并不适用。
另一个重要的方面是检查用户和访问权限。被黑客攻击后，通常会留下新的管理员，而旧的账户在没有明显原因的情况下获得扩展权限。检查账户列表、最近的登录、密码更改和管理员操作。
如何通过网站管理员工具和 antivirus 扫描器检查网站
当基本的手动检查已经完成时，使用能够从外部查看网站的工具是有益的。它们不能替代内部诊断，但可以很好地补充它。这里特别重要的是网站管理员面板、服务器日志、杀毒扫描器和域名声誉服务。
网站管理员面板显示有关恶意页面、索引问题、网络钓鱼和可疑重定向的警告。这是网站已经引起搜索引擎注意的第一个信号之一。在服务器日志中，可以看到对文件的意外访问、频繁的授权错误、可疑的POST请求以及非工作时间的活动。有时，日志成为起点：表面上看一切正常，但随后你会看到对未知脚本的请求流。
如果您可以访问文件系统，服务器上的防病毒扫描器非常有用。它们会寻找恶意代码的特征、可疑的压缩文件、Shell和行为异常的文件。然而，对它们也需要保持理智：扫描器可能会漏掉新的修改，或者相反，将合法文件标记为危险。因此，最好将结果与手动检查进行对比。
域名声誉服务帮助了解网站在外部的可见性。如果域名突然被列入黑名单，这不仅仅是内部故障。这意味着问题在您的服务器之外也显而易见。为了更深入的评估，最好在多个来源中交叉验证结果，而不是依赖于一个警告。
如果您想扩展工具部分，请注意检查网站是否存在隐藏订阅。有时不必要的方案伪装成普通服务，这样感染看起来就不是“病毒”，而是一系列强制性操作。
如果发现病毒或恶意代码该怎么办
主要规则是，如果您不确定问题是否已被定位，请不要让网站继续运行。首先，如果可能的话，将其与访问者隔离。有时只需暂时关闭对感染部分的访问或启用维护模式。
接下来删除感染的文件或用备份中的干净版本替换它们。如果恶意代码嵌入在主题、插件或核心中，最好从官方来源重新安装组件，而不是手动逐个清理。当感染影响到数据库时，必须删除可疑的插入，检查用户并重新审视所有自动字段的内容。
清理后务必更改密码：管理员、FTP/SFTP、主机、数据库、邮件及相关服务。如果密码在其他地方重复，也要更改。否则，旧的漏洞很快就会变成新的。
然后更新CMS、插件、主题和服务器软件（如果有权限）。许多感染利用旧的漏洞，只要这些漏洞没有修复，重新入侵只是时间问题。之后，最好使用多种方法对网站进行病毒复查。
还有：不要忘记在恢复后进行观察。头几天尤其重要。检查日志、索引、页面内容和表单行为。有时恶意代码会留下“备份”或隐藏路径，稍后会被激活。
如何保护网站免受再次感染
网站的最佳治疗方法不是在被黑后进行英雄式的清理，而是正常的预防。这虽然无聊，但在时间和精力上要便宜得多。
- 及时更新CMS、插件和主题；
- 删除未使用的扩展和旧模板；
- 限制文件和目录的访问权限；
- 不要为不同的服务使用相同的密码；
- 在可能的情况下启用双因素身份验证；
- 定期备份并检查是否可以恢复；
- 监控主机的日志和警告；
- 定期进行在线病毒检查和手动检查关键文件。
还需要单独检查您管理网站的计算机。如果感染是通过FTP客户端或浏览器会话进入的，干净的服务器本身无法拯救。此外，定期审查访问列表也是有益的：谁可以进入管理后台，谁知道备份代码，谁可以更改DNS。有时问题不在于代码，而在于权限过于宽泛。
如果系统性地处理这个问题，网站病毒检查就不再是紧急仪式，而是维护的常规部分。这或许是最好的结果：不是扑灭火灾，而是防止它蔓延。
