现在网上扫漏洞的脚本太多了，用开源程序（比如WordPress、emlog、各类CMS）的站点，只要哪个插件或者版本爆了漏洞，没及时更新就会被批量挂马。
我帮朋友清理过好几次挂马的网站，大部分都是同一个套路，按下面的步骤来，自己就能清理干净。

第一步：先把网站临时关了，防止木马继续操作

发现被挂马第一时间先把网站临时维护起来，别让普通用户访问，也防止黑客继续通过木马上传更多文件、偷数据库数据。
如果用的是Nginx，临时加个维护页面，或者直接把Web服务停几分钟，先断了黑客的连接。
别上来就删文件，先备份整个网站目录和数据库，万一删错了还能恢复，备份完了再开始排查。

第二步：找木马文件在哪

php木马一般都是后缀为.php的文件，藏在上传目录、缓存目录、主题目录这些可写的地方，因为这些目录程序有写入权限。
最快的查找方法：找最近被修改过的php文件，因为木马肯定是最近被上传上去的。
在网站根目录敲命令：

# 查找最近3天内被修改过的php文件
find . -type f -name "*.php" -mtime -3

正常的程序文件不会随便被修改，列出来的文件里如果有你不认识的、名字乱七八糟的（比如asdf.php、1.php、cachexxx.php），或者在upload目录里的php文件，基本就是木马。
还有个特征：木马文件的图标或者内容是乱码，因为大多做了base64加密，打开看全是乱七八糟的字符，没有正常的代码结构。
用编辑器打开可疑文件，开头有eval(、base64_decode(、gzinflate(这类函数的，100%是木马，直接删就行。
另外要注意：黑客可能会把木马代码插进正常的index.php、config.php文件里，所以如果最近修改的文件里有你没动过的核心文件，打开看看底部有没有被插入陌生的代码。

第三步：清理干净之后，一定要补漏洞

光删木马没用，如果漏洞没补上，过两天黑客还能再上传，白忙活。
检查这几个地方：

1. 程序版本和插件版本：如果用的是开源CMS，全部更新到最新版，把已知漏洞补上；没用的插件和主题赶紧删掉，很多木马都是通过旧插件传上来的。
2. 目录权限：上传目录、缓存目录设为755，不要给777权限；上传目录里的php文件直接禁止执行，Nginx里加个配置：

   location ~* ^/upload/.*\.php$ {
    deny all;
   }

   这样就算黑客把木马传到upload目录也执行不了。

3. 改所有密码：后台密码、FTP密码、数据库密码全部改成复杂的强密码，不要用123456这种弱密码；后台地址尽量改得复杂一点，别用默认的/admin、/wp-admin。
4. 查百度快照和搜索结果：看黑客有没有加黑链、跳转，有没有生成垃圾页面，全部清理干净，然后去百度搜索资源平台提交安全检测，申请解除风险提示。
   清理完之后观察几天，看访问日志里有没有奇怪的POST请求到upload目录，还有没有新的可疑文件生成，没问题就说明清理干净了。别信那些网上说的“一键清马”工具，大部分自带后门，自己手动找最靠谱。