对于香港主机上的网站来说，页面被篡改往往只是表象，真正需要排查的，是背后有没有持续写入恶意代码的后门程序。

很多站长第一次发现网站异常，通常只是看到首页标题被改、底部被插入陌生代码，或者页面被跳转到其他网址。表面上看，把文件覆盖回去似乎就恢复了，但如果过几个小时又被改回来，基本可以判断：服务器里很可能已经藏了后门，或者存在能持续写入恶意代码的异常脚本。

这类问题如果只盯着首页文件修，往往治标不治本。更有效的办法，是从文件完整性校验入手，先把被改动的异常文件找出来，再结合日志、权限、计划任务和网站目录结构，把真正的后门定位出来。

一、什么是文件完整性校验？

文件完整性校验，可以理解为：
把当前服务器上的文件状态，与一份可信的正常基线进行比对，找出哪些文件被新增、删除、替换或修改过。

对于网站被篡改这类问题，这个方法特别有价值，因为它不再只是盯着首页，而是能从整个站点目录、配置文件和系统关键路径中，找出真正异常的文件。

在 Linux 主机上，常见的做法包括：

• 使用 AIDE 建立文件完整性基线
• 用哈希值比对当前文件和正常备份
• 结合日志审计追踪文件变更来源

简单说，文件完整性校验解决的是“哪些文件被动过”，而日志审计解决的是**“是谁动的、什么时候动的”**。

二、香港主机网站被篡改后，常见的异常表现

如果网站出现下面这些情况，就不能只把它当成普通页面故障处理：

• 首页标题被改
• 底部被插入陌生 JS 或跳转代码
• 页面恢复后很快再次被篡改
• 网站目录里突然出现陌生 PHP 文件
• 上传目录、缓存目录中混入可执行脚本
• 插件、主题、模板文件被批量改动
• 计划任务中出现异常执行命令

这些现象说明问题很可能已经不是单个页面被改，而是服务器中存在隐藏后门、异常写入脚本，或被利用的上传点、插件漏洞、弱口令入口。

三、常见香港主机网站业务配置示例

为了让这篇内容更贴近实际运维环境，下面给出两种常见香港主机配置场景：

方案一：企业官网 / WordPress 博客

• CPU：Xeon E-2334
• 内存：32GB DDR4
• 硬盘：960GB NVMe SSD
• 带宽：100M BGP

适合企业官网、内容站、品牌展示站、博客类网站。

方案二：跨境电商 / 多站点业务

• CPU：AMD EPYC 4585PX
• 内存：64GB DDR5
• 硬盘：960GB NVMe SSD
• 带宽：100M BGP + 25M 优化回国

适合 WooCommerce、电商独立站、多站点业务系统、营销站群等场景。

这类香港主机本身性能通常没有问题，真正导致网站被篡改的原因，更多来自：

• 网站程序漏洞
• 插件或主题存在后门
• 上传目录允许执行脚本
• 网站目录权限设置过宽
• 后台或 SSH 弱口令
• 计划任务被写入异常脚本

四、网站被篡改后，正确的排查思路

1. 先保留现场，不要急着覆盖文件

很多站长出事后第一反应就是恢复首页文件，但这样容易把关键线索一起覆盖掉。
正确做法应该是先做以下几步：

• 备份当前网站目录
• 备份 Nginx、PHP、计划任务配置
• 保存访问日志和错误日志
• 临时限制后台入口和异常访问来源
• 有条件的话先做快照或离线副本排查

因为你真正要解决的，不只是“页面恢复”，而是找到为什么它会再次被写回。

2. 先找最近被改过的文件

排查时，第一步通常不是找首页，而是先把最近发生变动的文件列出来：

如果要重点看脚本文件，可以继续筛选：

这一步的目的，是先把最近有异常修改行为的文件范围缩小。

3. 搜索典型后门特征

很多 PHP 后门不会明写“我是后门”，但它们常常会使用一些典型危险函数或混淆方式，例如：

• eval()
• base64_decode()
• gzinflate()
• assert()
• shell_exec()
• system()
• passthru()

排查命令可以这样写：

grep -RIn --color \
-E 'eval\(|base64_decode\(|gzinflate\(|shell_exec\(|system\(|assert\(|passthru\(' \
/var/www/html

如果这些内容出现在上传目录、缓存目录、主题目录、插件目录中，就要重点怀疑。

五、如何通过 AIDE 做文件完整性校验

如果服务器之前已经建立过 AIDE 基线，那么网站被篡改后，定位异常文件会快很多。

基本流程

apt install aide
aide --init
mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
aide --check

执行后，AIDE 可以帮助你识别：

• 哪些文件新增了
• 哪些文件被删除了
• 哪些文件内容变了
• 哪些文件的权限、属主、时间戳发生了变化

这对定位隐藏后门特别有用，因为很多恶意脚本不一定改首页，但一定会在目录中留下文件变更痕迹。

六、如果之前没做 AIDE，怎么补救？

很多网站出问题时，实际上之前并没有做文件完整性基线。
这时最实用的办法，是拿正常备份、原始程序包或 Git 发布版本作为“可信基线”，与当前线上文件做哈希对比。

例如：

cd /data/release_clean
find . -type f ! -path "./uploads/*" -exec sha256sum {} \; | sort > /tmp/clean.sha256

cd /var/www/html
find . -type f ! -path "./uploads/*" -exec sha256sum {} \; | sort > /tmp/current.sha256

diff -u /tmp/clean.sha256 /tmp/current.sha256

这样可以快速找出：

• 哪些文件内容已经和正常版本不一致
• 哪些文件被替换过
• 哪些目录存在异常新增文件

虽然这种方式不如 AIDE 系统化，但在事故后的应急排查里非常有效。

七、后门最容易藏在哪些位置？

在实际排查中，真正需要重点关注的，往往不是首页，而是这些位置：

1. 上传目录

攻击者最喜欢把脚本伪装成图片、附件或临时文件，藏在这里。

2. 缓存目录

因为这些目录本来就会变化，异常文件更容易被忽视。

3. 主题目录和插件目录

尤其是来源不明、长期不更新、被二次修改过的插件或主题。

4. 计划任务

如果 cron 被写入异常命令，哪怕你恢复了页面，它也会再次自动篡改文件。

5. .user.ini、.htaccess 等隐藏配置文件

这些文件有时比表面源码更危险，因为它们可以影响 PHP 执行方式或请求重写逻辑。

八、只删除异常文件还不够，还要堵住写入入口

很多网站之所以反复被篡改，不是因为后门没删干净，而是因为攻击入口还在。

真正完整的处理流程应该包括：

• 恢复可信源码
• 删除异常新增脚本
• 检查模板、插件、主题是否被植入代码
• 清理异常 cron 计划任务
• 禁止上传目录执行 PHP
• 修正目录权限
• 修改后台、数据库、SSH 密码
• 升级 CMS、插件、主题版本
• 必要时增加 WAF、CDN 或访问限制

否则今天删掉一个 shell.php，明天它仍可能从另一个漏洞入口重新回来。

九、适合香港主机网站的长期防护建议

如果网站跑在香港主机上，建议至少做下面这几件事：

基础防护

• 定期备份站点和数据库
• 站点目录按用户隔离
• 上传目录禁止执行脚本
• CMS、插件、主题及时升级
• 使用强密码并限制后台入口

进阶防护

• 建立 AIDE 文件完整性基线
• 定期检查站点目录变化
• 对 Nginx、PHP、cron 做变更审计
• 发布必须通过 Git 或标准流程

长期监控

• 每天或每周执行完整性检查
• 重点监控网站根目录、配置目录、计划任务
• 对异常文件变更建立告警机制

十、结语

香港主机上的网站被篡改，最怕的不是页面被改一次，而是站长只修了表面文件，却没有把真正的后门找出来。

对于这类问题，最有效的思路不是反复覆盖首页，而是先通过文件完整性校验找出异常文件，再结合日志、权限、计划任务和站点结构，把后门和写入入口一起清理掉。

一句话总结就是：

网站被篡改，修页面只是表面处理；能不能彻底解决，关键看你能不能把被动过的文件和隐藏后门真正找出来。