关于被挂马，劫持快照问题：
) c) w8 {# H. u5 q& c+ y1 x" y
9 y5 }' \: {8 Y1 J用以下方法试试- [4 F. }8 {: c; p5 m5 f# @
4 p6 q" P( `+ w; q3 \2 K% R
若存在，处理前，先卸载所有盗版插件与模版。- M, g ~& z3 h
$ B% t& Y) W8 o/ @( q进discuz后台找到工具-文件校验，看下最近有哪些php文件被修改了。3 B' F# Q% `0 T
6 G( a- O! `4 y0 U7 `! m/ |, {. V" f
1、排查网站源文件的php 文件，查看是否有出现IP地址、或者异常网站（上面跳转的网站），如果有删除就可以了。3 t0 Q9 L" p- Z
, J ^5 H4 I9 v. Q5 @2、排查网站源文件的php 文件，查看是否有如下代码：@include($_SERVER['DOCUMENT_ROOT']
7 g4 ~5 V5 @6 ]; g7 C# t) l# x
（排查一般用WEBshell后门扫描软件扫描核查！）
* Q. g% g: Q, _/ z- y1 c
0 Z1 X% V& C. @3 w$ g如果有就删除此段代码。并把该段代码进行解密。
- B8 ~' ^: [6 n3 g8 `5 _1 U
$ Y( \1 r, a0 w3 `" f1 q3 Y8 }举例：@include($_SERVER['DOCUMENT_ROOT'].PACK('H*','2F646174612F6176617461722F30'));
y4 f1 Y; R& o. C# o. J# o+ ~! V0 U! p
需要解密的代码为：2F646174612F6176617461722F30
+ J0 U: C1 y. f4 k* X# u( [% q$ s8 ~+ J7 h1 ^
解密后为：/data/avatar/0
5 b u, }; ~2 L0 [ Z l5 k( c6 B( C* b$ g" [( Z* H
代码解密地址：http://www.bejson.com/convert/ox2str// S! |: N+ N: p4 }2 F
( H) K5 c" w6 y" H: @* s( ^$ S. k
2 w7 H: y0 x2 m2 F4 D意思就是在上述路径下存在被非法上传的文件，用于做快照劫持。
4 e% @' n+ Y5 t7 [ ^% l3 g9 p+ x! v/ n; E
解决办法：删除上面的代码和文件即可。
D" R/ Y( f* `% N! m' w3 L
' W8 ]1 ~% K2 ~+ \; ^/ c挂马问题解决了后，记得更改服务器相关的各种密码，尽量设置的复杂一点。 |
显身卡