Discuz 网站被挂马后，最推荐的处理方向是立即停止网站服务并隔离环境，适用场景为确认网站文件被篡改或出现异常跳转，最重要的风险边界是清理前必须完整备份以便回滚。

命令速用版

Linux 环境下可使用以下命令快速定位最近被修改的 PHP 文件，辅助排查可疑文件。

find /path/to/discuz -name "*.php" -mtime -7 -ls

该命令适用于查找最近 7 天内被修改过的 PHP 文件，操作动作是登录服务器终端执行，验证结果是列出文件路径和时间，风险边界是需确认业务正常更新时间以免误删。

为什么会这样

Discuz 网站被挂马通常是因为程序漏洞或未更新的插件被利用。

攻击者常通过文件上传漏洞写入 Webshell，或利用 SQL 注入获取后台权限，公开资料中没有看到可靠的量化数据说明具体漏洞占比，但历史安全公告显示模板文件和插件目录是高频风险点。

分步处理

处理挂马需按备份、离线、比对、清理、加固的顺序执行。

1. 完整备份：打包网站目录和导出数据库，适用场景为任何清理操作前，操作动作是使用 tar 或面板备份功能，验证结果是确认备份文件可下载，风险边界是备份文件本身可能包含木马，需隔离存储。

2. 网站离线：修改网站权限或开启维护模式，适用场景为防止清理期间攻击者继续写入，操作动作是重命名 index.php 或开启维护，验证结果是前台无法访问，风险边界是影响正常用户访问。

3. 文件比对：下载同版本官方源码，适用场景为识别被篡改的核心文件，操作动作是使用 diff 工具或 Beyond Compare 对比，验证结果是标记出差异文件，风险边界是配置文件需保留本地设置。

4. 清理代码：删除非官方代码片段，适用场景为确认感染的文件，操作动作是手动编辑或替换文件，验证结果是文件哈希值与官方一致，风险边界是误删二次开发功能。

5. 漏洞修复：升级至最新安全版本，适用场景为修复已知漏洞，操作动作是覆盖升级包，验证结果是版本号更新，风险边界是升级可能导致插件不兼容。

6. 密码重置：修改后台及数据库密码，适用场景为防止攻击者残留权限，操作动作是在后台安全中心操作，验证结果是旧密码无法登录，风险边界是需通知管理员新密码。

怎么验证是否生效

验证清理效果需结合日志分析与安全扫描。

检查 Web 访问日志，确认不再有异常 POST 请求指向可疑文件，适用场景为清理后监控，操作动作是 grep 日志文件，验证结果是无恶意 IP 访问记录，风险边界是日志可能被攻击者清除。

使用安全插件或在线工具扫描网站，适用场景为二次确认，操作动作是运行扫描任务，验证结果是报告无高危风险，风险边界是扫描工具可能存在漏报。

常见坑

清理过程中容易忽略隐藏较深的后门代码。

模板文件中常嵌入加密代码，适用场景为隐蔽持久化，提醒读者检查 template 目录，谨慎对待 base64 解码函数。

数据库存储过程或字段可能包含恶意脚本，适用场景为无文件木马，提醒读者检查数据库内容，谨慎对待前台输出内容。

常见问题

清理后网站还会被挂马吗

如果不修复漏洞根源，网站仍可能再次被挂马。

必须升级程序并加固服务器权限，仅删除文件无法防止重复感染。

没有备份可以直接覆盖官方文件吗

没有备份直接覆盖官方文件存在丢失数据的风险。

建议至少备份配置文件和附件目录，否则二次开发内容可能丢失。

参考来源

Discuz 官方下载中心，https://www.discuz.com/