Discuz 论坛被挂马后，最彻底的处理方式是全站文件比对替换结合 Webshell 扫描，同时修复漏洞源头。适用场景为确认服务器已被入侵且存在未知后门文件，风险边界在于操作不当可能导致网站无法访问或数据丢失。

命令速用版

以下 Linux 命令用于快速定位最近被修改的 PHP 文件和包含可疑函数的文件，操作前请确保在当前网站根目录下。

# 查找最近 7 天内被修改的 PHP 文件
find ./ -name "*.php" -mtime -7 -ls

# 搜索包含常见后门函数的文件（如 eval, base64_decode）
grep -r "eval" `--include`="*.php" .
grep -r "base64_decode" `--include`="*.php" .

# 查找权限异常的 PHP 文件（如 777 权限）
find ./ -name "*.php" -perm -777

为什么会这样

Discuz 论坛被挂马通常是因为程序漏洞未修复或使用了含有后门的第三方插件。攻击者利用 SQL 注入、文件上传漏洞或弱口令获取权限，写入 Webshell 文件以便长期控制服务器。公开资料中没有看到可靠的量化数据说明具体哪种漏洞占比最高，但核心文件被篡改和插件藏马是最常见的两种形式。

分步处理

按顺序执行以下步骤，每一步完成后需确认无误再进入下一步，避免操作中断导致网站无法恢复。

1. 全站备份与停机
操作动作：通过 FTP 或 SSH 打包下载全站文件，导出数据库 SQL 文件。
风险边界：备份期间网站仍可被写入，建议暂时关闭 Nginx/Apache 服务或开启维护模式。
验证结果：确认本地存有完整的文件包和数据库文件。

2. 核心文件还原
操作动作：从 Discuz 官方下载与当前版本一致的纯净安装包，解压后覆盖服务器上的核心目录（如 source、static、uc_server 等）。
风险边界：不要覆盖 data 目录和 config 配置文件，否则会导致数据丢失或配置错误。
验证结果：覆盖后网站能正常访问，版本号显示正确。

3. 清理可疑文件
操作动作：根据“命令速用版”中的查找结果，人工审核最近修改的非核心文件。
风险边界：误删正常插件文件可能导致功能异常，需对照插件列表确认。
验证结果：删除确认的恶意文件，保留正常业务文件。

4. 修复漏洞与加固
操作动作：更新 Discuz 到最新安全版本，修改后台管理员密码和数据库密码。
风险边界：旧版本插件可能不兼容新版本核心，需测试兼容性。
验证结果：密码修改成功，后台登录正常。

怎么验证是否生效

验证清理是否彻底需要结合工具扫描和日志分析，单一方法可能存在漏检。

1. 安全工具扫描
检查点：使用腾讯云安全中心、阿里云云安全中心或 D-Shield 等 Webshell 查杀工具进行全站扫描。
状态判断：扫描结果显示无高危风险或 Webshell 文件。

2. 访问日志分析
检查点：查看 Nginx 或 Apache 的 access.log，搜索 POST 请求频繁的 PHP 文件。
状态判断：未发现异常 IP 对可疑文件进行持续请求。

3. 文件完整性监控
检查点：部署文件监控脚本，记录文件变动。
状态判断：在无操作期间无文件被修改或新增。

常见坑

• 忽略 uc_server 目录：uc_server 是独立的用户中心，常被单独挂马，清理时容易遗漏，必须单独检查。
• 只删文件不修漏洞：如果不修补导致入侵的漏洞（如旧版本漏洞），攻击者会在几分钟内再次写入后门。
• 数据库后门：部分高级后门会写入数据库存储过程或触发器，仅清理文件无法根除，需检查数据库异常对象。
• 缓存文件误判：data/template 目录下的缓存文件可能包含加密代码，通常是正常的，不要直接删除所有含加密字符的文件。

常见问题

清理后门后网站打不开怎么办？

通常是覆盖核心文件时误删了配置文件或权限设置错误。检查 config/config_global.php 是否存在，并将网站目录权限恢复为 755，文件权限为 644。

如何防止再次被挂马？

定期更新 Discuz 官方补丁，关闭不必要的插件，使用强密码，并部署 Web 应用防火墙（WAF）拦截恶意请求。

备份的文件可以直接恢复吗？

不可以。备份的文件中可能已经包含后门，直接恢复会导致再次感染。必须先用安全工具扫描备份包，确认无毒后再提取数据。

参考来源

• Discuz! 官方论坛，Discuz! 产品安全公告
• 腾讯云安全中心，Webshell 检测与查杀技术文档
• 阿里云云安全中心，网站被挂马后的应急处理指南