确认网页异常、源码含恶意代码；2. 备份后断网隔离；3. 用安全工具扫描并人工检查高危目录及数据库，清除木马和后门。
Phpcms网站被挂马后，不能只删除几个恶意文件就认为问题解决。必须系统排查、清除后门、修复漏洞，否则很快会再次被入侵。以下是彻底清除挂马的步骤和建议。
1. 确认被挂马的表现
常见症状包括：
- 网页中出现不明弹窗、广告跳转或黑链
- 搜索引擎提示“该网站可能含有恶意内容”
- 页面源码中出现加密JS代码或iframe嵌入
- 后台或FTP账户异常登录
先通过浏览器查看网页源码，搜索eval、base64_decode、gzinflate、preg_replace（带/e修饰符）、iframe src=等关键词，定位可疑代码。
2. 备份并断网排查
不要直接在线清理。应：
立即学习“PHP免费学习笔记（深入）”；
- 立即备份当前网站文件和数据库（用于后续分析）
- 暂时关闭网站或屏蔽访问，防止继续传播木马
- 断开服务器对外服务，避免黑客远程控制
3. 彻底扫描和清除木马
使用专业工具和人工结合方式扫描：
- 用D盾、安全狗、河马查杀等本地工具上传扫描，识别Webshell和后门文件
- 重点检查以下目录：/uploadfile/、/cache/、/images/、/js/、/data/（Phpcms的缓存和附件目录常被写入木马）
- 检查所有.php文件，尤其是最近修改过的，查看是否有隐藏的eval或include代码
- 数据库也可能被注入脚本，导出.sql文件后用文本编辑器搜索
4. 更换密码与权限加固
黑客可能已获取多种权限：
- 修改FTP账号密码，删除不明用户
- 修改数据库密码，并限制远程连接
- 修改Phpcms后台管理员密码，最好是强密码
- 设置关键目录（如/templates/、/caches/）禁止执行PHP脚本（可通过.htaccess或Nginx配置）
- 确保文件权限合理：目录755，文件644，config文件600
5. 升级程序与修复漏洞
Phpcms V9存在多个历史漏洞：
- 确认是否使用官方最新版，如果不是，请升级到官方修复版本
- 特别注意phpcms/modules/content/down.php中的任意文件下载漏洞
- 检查是否安装了非官方模块或插件，这些往往是突破口
- 关闭不必要的功能，如文件上传接口未做严格校验
6. 重新部署干净站点
最稳妥的方式是：
- 从官方下载全新Phpcms程序包
- 仅迁移经过验证的内容数据（如文章、分类）
- 重新配置站点，避免直接恢复旧文件
- 模板文件需人工审查后再使用，尤其footer、header等公共部分
7. 后续监控与防护
清除后要持续观察：
- 开启日志记录，定期检查access.log和error.log
- 设置文件完整性监控，发现异常修改及时报警
- 使用Web应用防火墙（WAF）防护常见攻击
- 定期备份站点和数据库
基本上就这些。关键是不能图省事，必须从根源堵住漏洞。很多站长清除了木马但没改密码或没升级程序，几天后又被挂马。只要按步骤来，Phpcms完全可以安全运行。
