海洋 CMS 网站被入侵之后该怎么处理

海洋 CMS（SeaCMS，PHP + MySQL 架构的视频点播类建站程序）站点被入侵后，正确的处理顺序是「先隔离 → 再取证 → 后清理 → 最后加固」，顺序颠倒就会导致攻击者反复回来、日志被清、证据丢失。最忌讳的第一反应是直接删木马然后继续开门营业。

为什么第一步是断网，而不是删木马？

结论：发现入侵后第一件事是切断对外服务，而不是删文件。因为多数入侵者会留 2 个以上的后门，你删掉一个，他通过另一个立刻重新写入，还可能顺手清掉你的访问日志。

具体做法有三种，按影响面从小到大选：

1. 临时把 Nginx/Apache 站点配置改成返回 503，保留服务器 SSH 和数据库可访问；
2. iptables -A INPUT -p tcp --dport 80 -j DROP 只放行你自己的 IP；
3. 直接在云控制台把安全组 80/443 关掉。

同时立刻做三件事：修改服务器 root 密码、修改 MySQL root 与站点库账号密码、修改海洋 CMS 后台管理员密码。如果站点接入了 CDN，把 CDN 也切到「回源关闭」或停用。

怎么定位海洋 CMS 是被哪个入口打进来的？

结论：定位入口靠的是「文件修改时间」和「Web 日志」两条线交叉比对，而不是靠肉眼看代码。

文件时间线排查，先看最近 30 天被改动过的 PHP 文件：

find /www/wwwroot/你的站点 -type f -name "*.php" -newermt "2024-01-01" -ls

正常运营的站点，被改动的大多是 /data/ 缓存目录；如果 /admin/、/include/、/templets/ 下冒出新 PHP 文件，基本就是被塞了马。

日志线排查，看 Nginx 或 Apache 日志里的异常请求：

grep -Ei "eval|assert|base64|shell|\.\./|union.*select" /www/wwwlogs/*.log | tail -50

海洋 CMS 历史多个版本存在公开披露的 SQL 注入与任意文件上传类漏洞，攻击者通常先通过参数注入拿到后台权限或直接写入文件，再在 /uploads/、/data/ 这类有写权限的目录落地 WebShell。所以排查时，这几个可写目录是重点。

WebShell 木马怎么找、怎么清？

结论：找马要看特征字符串 + 异常时间 + 文件大小三个维度，清马必须全站扫，不能只删搜出来的第一个。

常用特征匹配：

find /www/wwwroot/站点 -name "*.php" -exec grep -l -E "eval\(|assert\(|base64_decode\(|gzinflate\(|\\\$_(POST|GET|REQUEST)\[.+\]\(\\\$" {} \;

几个实战经验点：

• 木马经常把时间戳改成 20200101 这种旧日期来伪装，所以 -newermt 和特征扫描要同时做；
• 检查 .htaccess、.user.ini、index.php 是不是被加了自动包含语句，.user.ini 常被用来强制加载马；
• 检查海洋 CMS 后台是否被加了隐藏管理员账号，直接查数据库 sea_admin 表（表前缀以你安装时设置为准），把不认识的账号全部删掉；
• 图片目录里的 .php 文件、大小异常（比如 5KB 以下的「图片」）都要看。

清理完之后怎么做加固？

结论：只清马不加固，等于给攻击者留了下次进门的钥匙。加固要覆盖「关入口、限权限、封函数」三件事。

1. 关入口：删除或改名 install/ 安装目录、phpmyadmin 目录、后台 /admin/ 目录（改成一个只有你知道的路径）；后台账号密码换成 16 位以上随机字符串，不要用 admin。
2. 限权限：目录 755、文件 644、属主归 web 用户；上传目录单独配置禁止执行 PHP：

location ^~ /uploads/ { location ~ \.php$ { deny all; } }

1. 封函数：在 php.ini 中设置

disable_functions = exec,passthru,shell_exec,system,popen,proc_open,putenv,assert
open_basedir = /www/wwwroot/你的站点:/tmp

1. 把海洋 CMS 升级到官方最新版本，并在正式恢复前本地跑一遍全量杀毒（如 ClamAV）和完整性比对。

站点被搜索引擎标黑、被挂跳转怎么办？

结论：清理干净后，必须主动去搜索引擎申诉，否则流量恢复要等几周甚至几个月。

浏览器提示「该网站可能含有恶意软件」通常是 Google Safe Browsing 命中，去 Google Search Console 的「安全问题」板块申请复审；百度则在百度搜索资源平台提交安全申诉并推送全量 URL；同时用 site:你的域名 自查是否出现赌博、色情类被收录页面，把这些页面彻底删除后提交死链。

收尾

海洋 CMS 被入侵的处理链条是：断网隔离 → 改全部密码 → 按时间和特征找马 → 查数据库隐藏管理员 → 修漏洞升级版本 → 关目录、限权限、封函数 → 再上线并持续监控两周。如果站内数据量大、业务不能长时间停，建议当天就联系专业应急响应团队，同时保留好日志和样本，必要时向属地网警报案备案。自己动手的核心原则只有一条：先断后查，查清再清，清完必加固。