### 网页挂马排查思路

**第一步：定位恶意代码位置**

挂马代码通常被注入到网站的静态页面或数据库中

- **查看网站源代码**：
  - **比对原始文件**：从备份中恢复网站的原始文件，然后与当前服务器上的文件进行比对。使用 `diff` 或 `Beyond Compare` 等工具可以快速找出被修改过的文件
  - **查找可疑关键字**：在网站所有文件中搜索一些可疑的 HTML 标签或 JavaScript 代码，例如：
    - `<script>` 标签指向外部可疑域名
    - `<iframe>` 标签，通常是 `display:none` 或宽高为0，用于隐藏恶意页面
    - `eval`、`document.write` 等可能用于动态加载恶意脚本的函数
- **检查数据库**：如果网站内容是动态生成的，攻击者可能会修改数据库中的字段（如文章内容、广告位），注入恶意代码
  - **检查数据库备份**：将数据库备份恢复到本地进行分析，与当前数据库进行比对
  - **搜索恶意代码**：在数据库的 `content`、`description` 等字段中搜索 `<script>`、`<iframe>` 等关键字。
- **分析日志文件**：
  - **Web日志**：检查 Web 服务器的访问日志（`access.log`），看是否有异常的 `POST` 请求，这可能与数据库注入有关
  - **操作系统日志**：检查操作系统的事件日志，看是否有异常的登录或文件修改记录

**第二步：分析恶意代码行为**

找到恶意代码后，不要立即删除，而是先分析它的行为。这有助于我们了解攻击的完整链条

- **代码解密**：挂马代码通常会经过混淆或加密，以逃避检测。你需要对代码进行解密，以还原其真实功能
- **行为分析**：
  - **下载木马**：恶意代码是否会从某个URL下载并执行可执行文件？
  - **漏洞利用**：它是否利用了浏览器或插件（如 Flash、Java）的漏洞？
  - **数据窃取**：它是否会窃取用户数据（如登录凭据）并发送到攻击者的服务器？
- **威胁情报查询**：将恶意代码中出现的域名、IP 地址或文件哈希值提交到威胁情报平台进行查询，了解其是否与已知的恶意活动相关

**第三步：清除与加固**

在完成分析后，就可以进行清除和加固工作

- **清除恶意代码**：
  - **删除文件**：彻底删除被注入恶意代码的文件，并从备份中恢复
  - **修复数据库**：删除数据库中被注入的恶意内容
- **漏洞修复**：
  - **程序漏洞**：如果挂马是通过Web应用漏洞（如SQL注入、文件上传）实现的，需要立即修复这些漏洞
  - **补丁升级**：升级操作系统、Web服务器、网站程序和插件到最新版本，以修补已知的安全漏洞
- **权限收紧**：
  - **最小权限原则**：Web 服务器进程（如Nginx、Apache）应以低权限用户运行，限制其对文件系统的写权限
  - **文件权限**：对网站目录和文件设置严格的读写权限，防止被再次修改