自己做的网站出现广告清理全攻略，修复到底多少钱
网站突然弹出乱七八糟的广告，或者页面里莫名多了几个链接，这种时候最慌的就是站长。很多人第一反应是：“这是不是被黑了？找人来修要多少钱？”别急，先别急着掏钱。大部分“自己做的网站出现广告”的情况，并不是高级黑客攻击，而是你代码里的某个小疏忽，或者服务器配置太宽松，给了恶意脚本可乘之机。
咱们不整虚的，直接上干货。不管你是用 WordPress 搭建，还是纯 PHP/HTML 手写，只要网站挂了马、插了广告，背后的逻辑基本一致。今天就把这套排查和修复流程拆解给你看，让你自己就能搞定，省下的钱够吃好几顿好的。
威胁场景：你的网站到底怎么“中”了招
在动手修之前，你得先搞清楚敌人是从哪进来的。根据腾讯云开发者社区发布的多个安全事件分析报告来看，中小企业和个人开发者被“挂马”的路径，90%集中在以下三个场景。对号入座，看看你属于哪一种。
场景一：第三方插件或模板漏洞 这是新手最容易踩的坑。你去下载了一个“免费好用”的 CMS 系统，或者为了省事直接用了某个不知名开发者写的主题。这些代码往往没有经过严格的安全审计。攻击者早就在代码库里埋好了后门，只要你一上传，后台权限瞬间泄露。他们不需要破解你的密码，直接通过后台接口注入恶意脚本，页面就会开始弹广告。
场景二：服务器目录权限过大
很多小白站长图方便，把 Web 根目录（比如 /var/www/html）的所有者权限设成了 777。这意味着任何能访问服务器的进程，都能在这个目录下读写文件。攻击者一旦通过某个小漏洞（比如文件上传漏洞）拿到写入权限，就能直接在根目录创建一个 index.php 或者修改现有的 header.php，塞入广告代码。
场景三：弱口令与暴力破解
你的后台登录地址是不是 /admin？密码是不是 123456 或者 admin888？如果是，恭喜你，你已经在攻击者的字典里躺平了。暴力破解工具每秒可以尝试成千上万次密码组合，弱口令网站通常在几分钟内就会沦陷。攻击者登录后台后，直接在“自定义代码”或“页脚设置”里加一段 JavaScript，广告就出来了。
漏洞原理：为什么广告能插进去还不被发现
理解原理，才能彻底根除。很多人清理广告只是简单删掉那几行代码，过两天又出来了，这就是没搞懂原理。
从技术角度看，网站被注入广告，本质上是一个权限提升或代码执行的问题。攻击者利用 PHP 的 eval() 函数、base64_decode() 解码混淆代码，或者利用文件包含漏洞（include、require），执行了恶意脚本。
举个最常见的例子：攻击者发现你的网站有一个 page.php 文件，里面有一行代码 include($_GET['file']);。这行代码的意思是，URL 参数 file 传什么，服务器就包含什么文件。攻击者构造一个请求 page.php?file=../../evil.php，服务器就会把根目录下的恶意文件包含进来执行。
更隐蔽的手段是文件混淆。攻击者不会直接把 <script src="http://malicious.com/ad.js"></script> 写进你的 HTML 里，那样太容易被发现。他们会把这段代码进行 Base64 编码，甚至再套一层 PHP 的 chr() 函数拼接，变成一串看起来像乱码的字符串。
错误代码示例（高危）：
<?php
// 这是一个典型的文件上传漏洞示例，攻击者可利用此写入Webshell
$file_name = $_FILES['file']['name'];
// 未校验文件类型，直接上传到Web根目录
move_uploaded_file($_FILES['file']['tmp_name'], "uploads/" . $file_name);
?>
在这段代码中，攻击者可以上传一个名为 shell.php 的文件。上传成功后，他访问 uploads/shell.php，就能获得服务器的执行权限，随意修改网站文件，插入广告代码。
防护方案：手把手教你清理与加固
知道了原理，咱们开始动手。清理广告不能只靠“删”，必须“查”、“清”、“防”三步走。
第一步：全局搜索，揪出恶意代码
不要只盯着首页看。打开你的代码编辑器，对整个网站根目录进行全局搜索。搜索以下关键词：
eval(base64_decode(preg_replace(特别是带有/e修饰符的，虽然新版 PHP 已禁用，但旧环境仍危险)chr(99)或其他常见的字符编码拼接- 外部可疑域名，如
.xyz,.top,.click等常见广告推广域名
重点检查文件：
- 根目录下的
index.php - 头部文件
header.php - 尾部文件
footer.php - 所有上传目录（
uploads,images等）
正确代码示例（加固后的文件上传）：
<?php
// 安全的文件上传处理逻辑
if (!empty($_FILES['file']['name'])) {$allowed_types = ['jpg', 'png', 'gif', 'pdf'];$file_extension = strtolower(pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION));// 1. 严格校验文件后缀if (!in_array($file_extension, $allowed_types)) {die("Invalid file type.");}// 2. 重命名文件，避免覆盖和恶意文件名$new_name = uniqid('img_') . '.' . $file_extension;// 3. 上传到指定目录，且该目录需禁止执行PHP脚本$target_dir = "uploads/";if (move_uploaded_file($_FILES['file']['tmp_name'], $target_dir . $new_name)) {echo "Upload successful.";} else {echo "Upload failed.";}
}
?>
注意，除了代码层面的校验，你还必须在 Nginx 或 Apache 配置中，禁止 uploads 目录执行 PHP 脚本。这是双保险。
第二步：修改服务器权限，切断后路
清理完代码后，立即修改服务器文件权限。这是防止攻击者再次写入文件的关键。
- Web 根目录：权限设为
755（所有者读写执行，其他人读执行）。 - 普通文件：权限设为
644（所有者读写，其他人读）。 - 配置文件（如
wp-config.php）：权限设为600或640，仅允许 Web 服务用户读取。 - 上传目录：权限设为
755，但必须在 Web 服务器配置中禁止执行脚本。
以 Nginx 为例，在 server 块中添加以下配置，禁止上传目录执行 PHP：
location ~ ^/uploads/.*\.php$ {deny all;
}
或者更彻底一点，直接删除 PHP 解析：
location /uploads/ {# 禁止执行任何PHP脚本if ($request_filename ~* \.php$) {return 403;}
}
第三步：更换所有密码与密钥
既然网站被入侵过，原有的密码和密钥必须视为已泄露。
- 数据库密码：修改 MySQL 数据库密码，并在配置文件中更新。
- 后台管理员密码：修改 CMS 后台最高权限账号的密码，建议使用“字母+数字+特殊符号”的长密码。
- 服务器 SSH 密码：修改 Linux 服务器的 root 密码，最好改用密钥登录，并禁用密码登录。
- FTP/SFTP 密码：如果你还开着 FTP，赶紧关掉，改用 SFTP 或 S3 同步。
检测与修复：如何确认已经洗干净了
改完代码和权限，别急着关浏览器。你需要验证网站是否真的安全了。
1. 使用在线扫描工具 访问腾讯云开发者社区推荐的一些开源安全扫描工具，或者使用 VirusTotal 扫描你的网站首页和关键页面。虽然在线工具不能完全替代人工检查，但能发现一些明显的特征码。
2. 检查 HTTP 响应头
使用浏览器开发者工具（F12），查看 Network 标签页。刷新页面，观察是否有来自未知域名的请求。如果看到 ad-server-xxx.com 之类的请求，说明还有残留代码。
3. 监控文件变动
安装一个简单的文件监控脚本，或者使用 inotifywait 命令监控 Web 目录。一旦发现文件被修改，立即发送报警邮件。
# Linux 下使用 inotifywait 监控文件变动示例
inotifywait -m -r /var/www/html --format '%w%f'
这个命令会实时监控 /var/www/html 目录下的所有文件变动。如果攻击者再次尝试写入文件，你会立即看到日志输出，从而迅速反应。
4. 定期备份 这是最容易被忽视，却最重要的一步。每天自动备份网站文件和数据库，并保留最近 7 天的备份。备份文件存放在不同的服务器上，或者使用云存储的异地存储功能。万一再次被黑，你只需要恢复备份，而不是从头再来。
安全加固清单：长治久安的秘诀
清理完这次广告，并不代表高枕无忧。网站安全是一个持续的过程。以下是一份精简版的安全加固清单，建议打印出来，贴在显示器旁边。
| 检查项目 | 操作建议 | 频率 |
|---|---|---|
| 系统更新 | 保持 OS、Web 服务器、PHP、数据库版本最新，及时打补丁 | 每周 |
| 插件更新 | CMS 后台插件和主题及时更新，删除不再使用的插件 | 每周 |
| 权限检查 | 检查 Web 目录权限，确保没有 777 权限的文件 | 每月 |
| 日志审计 | 查看 Web 服务器访问日志和错误日志，寻找异常 IP 和请求 | 每周 |
| 备份恢复测试 | 随机抽取一份备份，尝试在测试环境恢复，确保备份可用 | 每月 |
| 防火墙配置 | 配置 Cloudflare 或 WAF，屏蔽恶意 IP，开启 DDoS 防护 | 持续 |
| SSL 证书 | 确保全站 HTTPS，防止中间人攻击篡改页面 | 持续 |
特别提醒： 对于设计师转前端的伙伴，你们可能更关注视觉和交互，但请一定记住：前端代码是暴露在公网的第一道防线。 不要随意引用外部的 JS 文件，尤其是那些不知名 CDN 的脚本。攻击者经常劫持第三方 JS 库来投放广告。尽量使用本地化的资源，或者使用信誉良好的 CDN 并验证哈希值。
另外，关于“修复多少钱”这个问题，如果你按照上面的步骤自己操作，成本主要是你的时间成本。如果你非要找外包，市场价通常在 500-2000 元不等，取决于网站的复杂程度和入侵深度。但说实话，如果你的网站连基础的文件权限和代码审计都没做好，花再多钱请人修，下次还会被黑。授人以鱼不如授人以渔，把这套流程吃透，以后遇到类似问题，你都能自己搞定。
网站安全没有捷径，只有细节。每一个看似不起眼的配置，都可能成为防御的最后一道墙。别等广告弹窗影响了用户体验，别等客户因为安全问题流失了，才想起要加固。
你踩过哪些建站的坑？评论区交流，互相避坑，咱们一起把网站做稳、做安全。