前言介绍
网站被植入恶意弹窗代码是站长最头疼的问题之一。这类攻击通常表现为用户访问网站时突然弹出赌博、色情或虚假中奖广告，严重时甚至会被浏览器拦截为危险站点。恶意弹窗不仅破坏用户体验，还会导致搜索引擎降权、流量流失，甚至被主机商暂停服务。造成这一问题的根源往往是网站源码中存在隐藏的恶意脚本，比如通过iframe嵌入广告、JavaScript劫持跳转、或者利用PHP后门文件持续注入代码。本教程将从实战角度出发，手把手教你如何定位、清理并彻底根除网站源码中的病毒代码，恢复网站安全。
前置准备
在开始修复之前，请确保你具备以下条件：
1. 网站文件访问权限：你需要能够通过FTP、SSH或主机控制面板的文件管理器连接到网站根目录。如果使用虚拟主机，建议申请临时Shell访问权限，这会大幅提升排查效率。
2. 备份当前网站：无论问题多严重，先完整打包下载所有网站文件和数据库。备份文件应存储在本地电脑或安全云盘，切勿留在服务器上。这是防止操作失误导致网站崩溃的最后保障。
3. 文本编辑器：推荐使用Notepad++、Sublime Text或VS Code，这些工具支持语法高亮和正则搜索，能快速定位异常代码。不要用系统自带的记事本，它无法显示编码格式和隐藏字符。
4. 分析工具准备：下载一个在线查毒扫描工具，比如VirusTotal的网站扫描功能，或者本地使用ClamAV杀毒软件。同时准备好浏览器的开发者工具（按F12打开），用于实时检测弹窗来源。
5. 修改密码：在开始清理前，立即修改FTP密码、数据库密码、管理员后台密码以及主机控制面板密码。很多持续感染是因为攻击者掌握了旧密码，清理完又会重新入侵。
6. 记录当前状态：用截图或文字记录弹窗出现的时间、触发条件（比如点击某个按钮后弹出）、弹窗URL地址。这些信息能帮助你反向追踪恶意代码的来源。
分步操作步骤
第一步：使用浏览器开发者工具定位弹窗源头
1. 打开受影响的网站页面，保持浏览器开发者工具处于开启状态（按F12键）。切换到“网络”（Network）标签页，勾选“保留日志”（Preserve log）选项，这样页面跳转时记录不会清空。
2. 刷新页面或触发弹窗操作。当恶意弹窗出现时，迅速查看网络请求列表，寻找可疑的请求地址。正常的网站请求通常是你的域名、CDN资源或第三方统计服务，而恶意请求往往指向陌生域名，比如“xyz123.com”、“adserver.top”这类随机字符或明显与内容无关的地址。
3. 点击网络请求列表中的可疑条目，查看“预览”（Preview）或“响应”（Response）内容。如果发现返回的是一段JavaScript代码，其中包含“window.open”、“document.write”、“location.href”等跳转函数，这基本就是弹窗脚本。
4. 切换到“元素”（Elements）标签页，按Ctrl+F（Mac用Command+F）搜索关键词“iframe”、“script src=”或“eval”。恶意代码经常被隐藏在看似正常的HTML标签中，比如在页面底部、隐藏的div内或注释符号里。找到可疑代码后，记录它所在的文件名和具体行号。
5. 如果弹窗只在特定页面出现，比如文章详情页或分类页，那么重点检查该页面的模板文件。如果是全站弹窗，优先排查公共头部文件（header.php或header.html）和底部文件（footer.php或footer.html），因为攻击者通常将代码注入到这些被所有页面引用的文件中。
第二步：通过FTP或文件管理器批量扫描异常文件
1. 使用FTP客户端（如FileZilla）连接到服务器，进入网站根目录（通常是public_html、www或htdocs文件夹）。按文件修改时间排序，重点查看最近24小时内被修改过的文件。攻击者经常在凌晨时段批量篡改文件，所以时间戳是最直接的线索。
2. 下载可疑文件到本地，用文本编辑器打开查看。注意文件开头和结尾部分，恶意代码往往被追加在文件末尾，或者插入在PHP标签“
3. 检查每个PHP文件的开头几行。很多攻击者会在文件最前面插入“
4. 重点关注以下目录：wp-content/uploads/（WordPress站点）、uploads/、cache/、tmp/、以及任何以“admin”或“manage”命名的目录。这些目录通常有写入权限，且容易被忽视。攻击者经常在这些目录下上传伪装成图片或文档的PHP木马，比如“1.jpg.php”或“readme.txt.php”。
5. 搜索所有包含“eval”关键字的文件。在FTP客户端中可以使用“远程文件搜索”功能（FileZilla不支持，建议使用主机面板的在线文件管理器或SSH命令“grep -r eval /网站路径”）。注意排除正常的框架文件，比如ThinkPHP或Laravel的核心库中也有eval调用，但它们的上下文是可控的。如果发现eval后面跟着base64_decode或gzuncompress，99%是恶意代码。
第三步：手动清理核心感染文件
1. 首先处理公共模板文件。找到header.php、footer.php、sidebar.php（如果是WordPress，还包括header.php、footer.php、functions.php）。用文本编辑器打开这些文件，删除所有不属于原始模板的代码块。如果不确定原始内容，可以对比从官方源重新下载的干净版本，或者参考本地备份中的对应文件。
2. 处理index.php文件。很多攻击者会在网站根目录的index.php文件开头插入跳转代码。正常index.php通常只包含几行定义常量或引入框架的代码。如果发现类似“header(‘Location: http://恶意域名’)”或“echo ‘’”的语句，直接删除。注意保留原始的PHP标签和核心逻辑。
3. 清理.htaccess文件。这个隐藏文件是Apache服务器的配置文件，攻击者经常在里面添加重定向规则。用文本编辑器打开.htaccess，查找是否有“RewriteRule”指向陌生域名，或者“Redirect”指令。正常的.htaccess通常只包含伪静态规则和防盗链设置。如果发现大量乱码或编码后的规则，直接清空文件内容，然后从备份中恢复原始配置。
4. 删除可疑的加密文件。如果发现某个文件内容全是乱码，且文件名类似“wp-cache-xxxxx.php”、“sys_update.php”、“class-wp-xxxxx.php”，立即删除。这些文件通常是攻击者上传的后门，用于远程控制服务器。删除后检查文件是否自动再生，如果再生说明有其他隐藏的后门在持续生成文件。
5. 检查并清理数据库中的恶意代码。登录phpMyAdmin，选择你的网站数据库，搜索“