自己做的网站出现广告？3招用免费工具揪出黑手
网站突然弹窗全是博彩广告，后台代码却干干净净？别慌，这不是玄学，是典型的被植入恶意脚本或文件被篡改。很多站长第一反应是删文件、改密码，但往往治标不治本，三天后广告又回来了。作为在行业摸爬滚打十年的老兵，我见过太多因为忽略基础安全而损失惨重的小微企业。今天不聊虚的，直接教你用免费工具组合拳，从排查到加固，彻底解决自己做的网站出现广告的顽疾。
一、 别瞎猜，先用“三板斧”定位病毒源头
很多新手一看到广告，就急着找代码里的<script>标签，结果找了半天没发现，反而把正常业务代码改崩了。真正的入侵者非常狡猾，他们不会把病毒写在显眼的位置。
第一步，也是最重要的一步，是文件哈希值比对。你需要知道，正规发布过的文件，其MD5或SHA1值是固定的。如果你本地有一份未上线的备份，或者之前备份过，现在就可以开始比对。
这里推荐一个免费的在线工具：VirusTotal。虽然它主要查病毒，但它的文件特征分析非常强大。更实用的是利用服务器自带的日志。大多数Linux服务器（如CentOS, Ubuntu）都自带/var/log目录。
实操步骤：
- 登录服务器终端。
- 查看最近7天的访问日志，寻找异常IP。
# 统计最近24小时访问次数最多的前10个IP awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -10 - 如果发现某个IP在极短时间内高频访问
wp-login.php、admin.php或上传目录，基本可以断定是暴力破解或漏洞扫描。
第二步，检查异常文件。黑客经常将恶意脚本伪装成图片（如image.php.jpg）或放在.git、.svn等隐藏目录中。
使用find命令查找近期修改过的文件：
# 查找最近24小时内修改过的所有PHP文件
find /var/www/html -name "*.php" -mtime -1
重点检查这些文件末尾是否有Base64编码的字符串，或者eval()、base64_decode()这类危险函数。
第三步，浏览器开发者工具排查。打开你的网站，按F12，切换到Network（网络）标签，刷新页面。观察是否有请求发往陌生的域名（通常是短链接或生僻的TLD，如.xyz, .tk）。如果有，点击该请求，查看Response，里面往往藏着真正的恶意JS代码。记住这个域名，它就是你后续封禁和溯源的关键线索。
二、 核心差异：为什么模板站比定制站更容易中招？
很多老板觉得定制开发贵，模板站便宜又现成，但安全层面的差异被严重低估了。根据中国互联网络信息中心(CNNIC)发布的第53次《中国互联网络发展状况统计报告》，我国网站数量庞大，但中小网站的安全防护水平参差不齐，其中使用开源CMS（内容管理系统）且未及时更新补丁的网站，被入侵比例高达60%以上。
为了让大家更直观地理解，我们对比一下主流开源CMS与原生定制开发在应对此类广告注入时的表现：
| 维度 | 开源CMS (如WordPress, Discuz) | 原生定制开发 (ThinkPHP, Node.js等) |
|---|---|---|
| 漏洞暴露面 | 极大。插件、主题、核心系统均可能有漏洞，全球攻击者都在扫描已知漏洞。 | 较小。攻击者需针对你的代码逻辑寻找0day漏洞，成本高。 |
| 文件结构 | 复杂。大量模板文件、插件文件分散，黑客易在隐蔽位置植入后门。 | 相对清晰。目录结构由开发者定义，易于审计。 |
| 更新维护 | 依赖官方发布补丁，需手动或自动更新，常因兼容性问题不敢更新。 | 依赖框架安全更新，业务逻辑独立，更新风险可控。 |
| 被黑后恢复 | 困难。需全盘扫描，可能误删业务数据，且插件生态易再次引入风险。 | 较易。核心业务代码可控，备份恢复后需检查数据库即可。 |
| 免费工具支持 | 多。有专门的WordPress安全扫描插件（如Wordfence）。 | 少。需依赖通用的服务器安全工具（如ClamAV, OSSEC）。 |
结论很明确： 如果你使用的是WordPress等开源系统，自己做的网站出现广告的概率远高于定制站。因为你的每一个插件都是潜在的入口。而定制站虽然安全系数高，但开发成本也高，且如果代码写得烂（比如直接拼接SQL），依然会被注入。
三、 代码与配置层面的“免疫”实战
知道了原因，接下来是硬功夫。针对不同的技术栈，我们用免费工具和代码配置来加固防线。
场景一：Nginx/Apache 层面拦截恶意请求
无论后端用什么语言，Web服务器是第一道大门。我们可以利用Nginx的limit_req和location规则，直接屏蔽常见的恶意路径。
Nginx配置示例（nginx.conf）：
server {listen 80;server_name yourdomain.com;root /var/www/html;# 禁止访问隐藏文件和目录location ~ /\. {deny all;access_log off;log_not_found off;}# 禁止直接访问备份文件 (.bak, .swp, ~)location ~* \.(bak|swp|orig|save|old|new)$ {deny all;access_log off;log_not_found off;}# 限制上传目录的执行权限location ~* ^/uploads/.*\.php$ {deny all;access_log off;log_not_found off;}# 限制请求频率，防止暴力破解limit_req zone=one limit 5r;
}
关键点解析：
- 隐藏文件禁访：黑客常通过
.git/config泄露源码，进而找到漏洞。 - 上传目录禁执行：这是防Webshell的核心。即使黑客上传了木马PHP文件，Nginx也会直接拒绝执行，返回403或404。
- 备份文件禁访：防止源码泄露。
场景二：PHP应用层代码加固
如果你使用PHP，很多广告注入是因为include或require了被篡改的文件。我们需要在入口文件（如index.php）加入完整性校验。
PHP代码示例（index.php头部）：
<?php
// 简单的文件完整性检查（示例，生产环境建议使用更复杂的哈希库）
$expected_hash = '5d41402abc4b2a76b9719d911017c592'; // 你本地安全版本的MD5
$file_to_check = '/var/www/html/config.php';if (!is_readable($file_to_check)) {die("Security Check Failed: File missing");
}$current_hash = md5_file($file_to_check);if ($current_hash !== $expected_hash) {// 记录日志并终止执行，或者重定向到安全页面error_log("CRITICAL: config.php hash mismatch! Possible intrusion.");http_response_code(500);die("System Error. Please try again later.");
}// 正常业务逻辑
require 'app/bootstrap.php';
?>
注意： 这段代码只是入门级演示。在实际项目中，建议使用更健壮的方案，比如使用filemtime检查文件最后修改时间，或者部署专门的WAF（Web应用防火墙）。对于中小企业，免费工具中，ModSecurity配合OWASP Core RuleSet是Nginx/Apache下非常强大的免费WAF方案。
场景三：数据库层面的防注入
很多广告是通过修改数据库中的site_config或header字段注入的JS代码。
SQL查询检查（MySQL）：
-- 搜索包含可疑脚本标签的配置项
SELECT * FROM wp_options
WHERE option_value LIKE '%<script%';-- 搜索包含可疑外部链接的配置项
SELECT * FROM wp_options
WHERE option_value LIKE '%http://unknown-domain.com%';
如果查出结果，立即清理这些字段，并检查是谁有权限修改这些表。
四、 适用场景与选型建议：你的网站该选哪种防护？
不同的网站规模和技术栈，适用的免费防护方案不同。
1. 个人博客/小型企业展示站
- 技术栈：WordPress + 共享主机或廉价VPS。
- 痛点：不懂代码，预算少。
- 推荐方案：
- 安装Wordfence（免费版）或Sucuri（免费版）插件。它们能自动扫描恶意文件，提供防火墙保护。
- 定期使用UpdraftPlus（免费版）进行全站点备份。一旦中招，一键恢复是最快的手段。
- 关闭不使用的插件，只保留必要功能，减少攻击面。
2. 中型电商/内容平台
- 技术栈：ThinkPHP/Laravel + 独立服务器 + MySQL。
- 痛点：业务复杂，数据重要，不能频繁停机。
- 推荐方案：
- 部署ClamAV进行服务器文件病毒扫描，设置cron任务每日凌晨扫描一次。
# Crontab配置示例 0 2 * * * /usr/bin/clamscan -r /var/www/html >> /var/log/clamav.log 2>&1 - 使用OSSEC或Wazuh进行主机入侵检测（HIDS）。它们能监控文件完整性、登录失败、异常进程等。
- 实施严格的代码审查流程，所有上线代码必须经过静态代码分析（如PHPStan或CodeSniffer）。
- 部署ClamAV进行服务器文件病毒扫描，设置cron任务每日凌晨扫描一次。
3. 高并发/安全敏感型应用
- 技术栈：Node.js/Go + 云原生架构。
- 痛点：面对DDoS和高级持续性威胁（APT）。
- 推荐方案：
- 使用Cloudflare（免费版）作为前置CDN和WAF。它能过滤掉大部分恶意流量，隐藏源站IP。
- 启用Fail2Ban。这是一个基于日志分析的入侵检测工具，能自动封禁恶意IP。
# /etc/fail2ban/jail.local 配置示例 [sshd] enabled = true port = ssh logpath = %(sshd_log)s maxretry = 3 bantime = 3600 - 定期使用Nmap进行端口扫描，确保只开放必要端口（80, 443, 22）。
五、 上线部署与长期运维优化
解决自己做的网站出现广告只是第一步，长期安全才是王道。
- 最小权限原则：Web服务器用户（如
www-data）不应拥有root权限。数据库账号应限制只能访问指定数据库，且禁止FILE权限（防止通过SELECT INTO OUTFILE写文件）。 - SSL证书管理：使用Let's Encrypt免费证书，并配置自动续期。HTTPS不仅加密传输，还能防止中间人攻击篡改页面内容。
- 定期备份与演练：备份不是万能的，但没有备份是万万不能的。每周全量备份，每日增量备份。更重要的是，每季度进行一次恢复演练，确保备份文件真的能用。
- 员工安全意识：很多漏洞是因为员工使用了弱密码，或者在公共WiFi下管理网站。定期培训，要求使用密码管理器，禁止在公共网络下进行敏感操作。
特别提示： 如果你发现网站被挂了广告，且清理后很快又出现，说明服务器可能已经存在持久化后门（如Cron任务、SSH公钥、PHP常驻进程）。此时，最彻底的办法是重装系统，然后从干净备份恢复数据，并排查数据库。不要抱有侥幸心理，修补一个漏洞，可能还有其他十个。
结语
网站安全是一场持久战，没有一劳永逸的方案。但通过合理的架构设计、免费的开源工具以及良好的运维习惯，我们可以将风险降到最低。不要等到业务停滞、客户流失才想起安全，那时候的代价远高于现在的投入。
你更倾向模板建站还是定制开发？在安全投入上，你的团队目前最大的痛点是什么？欢迎在评论区留言，我们一起交流实战经验。
