Discuz社区网站被黑客植入木马修复网站正常教程，举报cc/vip域名等外链网址斩掉攻击源头

• 1. 整站备份把网站所有文件和数据库完整备份到本地。即使文件已被感染，也要保留一份原始状态，用于后续分析入侵点。文件：打包整个网站目录（如 tar -czvf backup.tar.gz /www/wwwroot/your_site）数据库：用 phpMyAdmin 或命令行导出 SQL 文件（mysqldump -u用户名 -p 数据库名 > backup.sql）
  
• 2. 临时关站挂一个维护页面（如 index.html），避免用户访问时触发恶意代码，也防止黑客在你清理时再次写入。如果是 Nginx/Apache，可临时将网站根目录指向一个只有维护页的目录，或修改 Discuz 配置文件关闭站点（config/config_global.php 中设置 $_config['security']['closedreason']）。
  
• 3. 保存访问日志把服务器访问日志和网站运行日志下载下来，留着后续排查黑客入口。通常位于 /var/log/nginx/ 或 /var/log/httpd/，以及站点目录下的 data/log/。
  

• 1. 本地扫描（推荐）将备份的文件下载到 Windows 电脑，使用以下工具扫描：D盾（D-Shield）：针对 PHP 木马检出率极高。河马查杀（SHELLPUB）：在线或客户端扫描。安全狗扫描：也支持本地扫描 Web 目录。这些工具会标记出可疑文件及其具体的恶意代码行。
  
• 2. 在线扫描（如果没法下载到本地）服务器上可临时安装 ClamAV 或使用 河马在线查杀（上传可疑文件检测），但效果不如 Windows 客户端的 D 盾。
  
• 3. 重点检查近期修改过的文件（通过 FTP 客户端按修改时间排序）。以下易被植入的目录：/data/（缓存、模板编译，常有伪装成 .php 的图片木马）/uc_client/data/（UCenter 缓存）/source/plugin/（插件目录）/template/（模板文件内嵌 PHP 代码）/api/、/m/ 等功能目录所有 .htaccess、user.ini 等配置文件（可能被篡改解析规则）文件名极度可疑：如 1.php、favicon.php、config.bak.php 等，以及图片目录下出现的 .php 文件。
  

• 1. 删除恶意文件根据扫描结果，直接删除确认为木马的文件（如 xiaomayi.php、shell.php 等明显 Webshell）。注意：某些木马可能注入到了正常文件中（比如被修改的 index.php、forum.php），不要直接删除，要用原版文件替换。
  
• 2. 替换被篡改的系统文件下载与你当前 Discuz 版本完全一致的原版安装包，解压后执行以下操作：清空并重新上传 source/、static/、template/default/ 等核心目录（插件和第三方模板不要覆盖）。根目录下的 admin.php、forum.php、home.php、group.php、member.php 等入口文件全部用原版替换。特别替换 /api/ 下的文件，这是高频挂马区。这样做可以把被植入系统文件中的后门（如 eval(base64_decode(...))）彻底覆盖掉。
  
• 3. 清理缓存和模板编译目录清空 data/cache/、data/template/、data/threadcache/ 等目录下的全部文件。清空 uc_client/data/cache/ 下的文件。许多木马会生成“缓存马”，即使删了原文件，缓存编译后依然生效。
  
• 4. 检查插件和模板如果不是从官方应用中心安装的盗版插件/模板，很可能是木马的来源。进入 source/plugin/，逐个检查非官方插件的目录，看是否有可疑 PHP 文件，或者用 D 盾扫描整个 plugin 目录。检查当前使用的模板目录（如 template/你的模板名/），看是否有被插入 PHP 代码的 .htm 文件（Discuz 模板语法允许执行 PHP，所以非常危险）。彻底删除不确定的非官方插件/模板，从正规渠道重新下载安装。
  
• 5. 检查数据库中的恶意代码木马也可能被注入到数据库的某些字段中，通过调用缓存等方式触发。使用 phpMyAdmin 或命令行，检查以下常见表中的文本字段：pre_common_setting （skey 包含 script、css、header 等）pre_common_syscachepre_forum_forum 中的 description、rulespre_common_template （如果存在）所有表的 title、content 字段搜索关键字：base64_decode、eval、shell_exec、system、assert、preg_replace /e、\x 开头的十六进制编码等。找到后直接编辑表内容，清空或修复该字段（要确认不是正常功能）。
  

• 1. 修改所有管理员密码强制所有管理员更改密码，使用强密码（大小写字母+数字+特殊字符，12位以上）。
  
• 2. 清理未知管理员在 pre_common_member 表检查，确认管理员 UID 都认识。尤其注意不在 pre_common_admin 表中的高权限用户（黑客可能通过 SQL 注入直接提升权限）。检查 pre_ucenter_members 是否有多余账户。
  
• 3. 检查 UCenter 权限UCenter 的创始人密码是否被修改？如果自己不知道 UCenter 创始人密码，进 uc_server/data/config.inc.php 查看 define('UC_FOUNDERPW', '...') 并重置一个已知的。
  
• 4. 重置通信密钥在 config/config_ucenter.php 和 UCenter 后台的“应用管理”中，重置通信密钥（UC_KEY），并确保通信成功。这可以防止通过伪造请求进一步操作。
  

• 1. 检查计划任务（Cron）Linux 执行 crontab -l 检查当前用户的所有计划任务，以及 /etc/crontab、/var/spool/cron/ 下的文件。如果有奇怪的定时下载脚本或运行 PHP 命令，立即删除。
  
• 2. 检查站点目录下的隐藏后门使用 find /www/wwwroot/你的站点 -name "*.php" -type f -mtime -5 查看最近 5 天内修改的 PHP 文件，逐一确认。重点查找文件名带有空格或特殊字符的文件，如 index .php。
  
• 3. 检查 Web 服务器配置查看 .htaccess、.user.ini、nginx.conf 是否有被插入异常设置，比如自动添加 php 解析、设置包含目录等。
  
• 4. 修改所有关键密码数据库密码（修改后同步更新 config/config_global.php 和 config/config_ucenter.php）FTP/SSH 密码网站后台管理员密码、UCenter 创始人密码服务器管理面板（如宝塔）密码
  
• 5. 检查服务器其他网站如果是虚拟主机，同服务器下其他站点也可能被感染并交叉传播，需一并排查。
  

• 1. 升级 Discuz 到最新版到 Discuz 官方或码云（Gitee）下载最新稳定版程序，执行覆盖升级。许多漏洞都是旧版本的问题。如果你用的是很长时间未更新的 X 系列（如 X3.2、X3.4 早期版本），强烈建议升级到 X3.4 最新版（目前官方在码云持续更新）。
  
• 2. 目录权限严格设置所有 PHP 文件 644，目录 755。data/、uc_client/data/、config/ 等需要写入的目录设为 755，不要给 777。config/config_global.php 和 config/config_ucenter.php 设置 444 或 440 只读（需要时临时改权限）。取消 source/plugin/、template/ 等目录的 PHP 执行权限（在 Nginx 中通过 location 禁止运行 PHP，Apache 用 .htaccess 设置 RemoveHandler .php 或 php_flag engine off）。安全插件目录可在应用中心设置禁止直接执行 PHP。
  
• 3. 删除不必要的文件删除安装目录 install/（如果有的话必须删掉）。删除 utility/ 等工具目录。删除多余的备份文件如 sql.tar、wwwroot.zip 等。
  
• 4. Web 应用防火墙（WAF）可使用宝塔面板自带的 Nginx WAF、或者第三方如雷池 WAF、悬镜等，阻断 SQL 注入、文件上传等攻击。配置只允许上传指定后缀附件，屏蔽危险后缀（.php, .phtml, .php5 等）。
  
• 5. 启用 HTTPS 和内容安全策略虽然不能直接防止木马，但可增加篡改难度。
  
• 6. 定期备份与监控设置每日备份（文件和数据库）到远程位置，开启文件变动监控（如 inotify 或安全软件的文件防护）。
  

• 查看访问日志中木马文件第一次被访问的记录，往往就是黑客上传后马上测试的痕迹。
  
• 搜索日志中可疑的 POST 请求（尤其发帖、注册、上传接口），查看是否有 SQL 注入或上传绕过。
  
• 检查被修改文件的修改时间，与日志时间对应，定位漏洞利用点（如某个插件的上传漏洞、后台弱口令、UCenter 密钥泄露等）。
  

                为严厉打击治理跨境赌博违法犯罪活动，方便广大群众举报，打击治理跨境赌博综合举报平台将从即日起启用。群众可以扫描专用二维码或从公安部政府网站等链接登录dbjb.mps.gov.cn，快捷举报相关线索。同时开通举报邮箱（110@interpol.gov.cn）和传真（010-66261404），欢迎广大群众积极检举。            
                同时鼓励涉赌人员揭发相关违法犯罪，争取依法宽大处理。