保护现场与重要资料
先记录异常页面、首次发现时间、最近更新和受影响的账号。保留必要日志与可靠备份；如果涉及用户数据或支付，应优先评估进一步的风险处置。不要通过普通邮件直接发送完整密码或数据库。
木马可能藏在多个位置
恶意代码可能出现在主题、插件、上传目录、数据库内容、计划任务或服务器层配置中，也可能通过被盗管理员账号持续写入。仅删除首页的一段跳转脚本，通常不足以证明感染已经清除。
清理与修复入口漏洞需要一起考虑
技术处理通常包括确认授权、检查异常文件与账户、对照可信组件版本、恢复受损内容、更新存在漏洞的组件、调整权限和轮换相关凭据。具体范围取决于站点架构、可用备份与感染深度。
恢复后还需要验证
检查桌面和手机端、登录、业务页面、搜索结果与关键功能，并持续观察异常是否复发。如果浏览器或搜索引擎仍显示安全警告，可能需要按平台流程申请复核；复核结果和时间由第三方决定。
发现异常时先保护现场
如果网站出现陌生跳转、异常管理员或安全警告，先确认网站所有权与操作授权。避免在未备份的情况下直接批量删除文件，以免破坏证据或影响业务恢复。
- 保留当前文件、数据库及可用的服务器日志。
- 检查管理员账号、最近安装的插件与异常定时任务。
- 如果涉及客户资料或支付信息，及时评估是否需要进一步的事件响应。
清理后仍需查找入侵入口
只删除可疑脚本，不代表问题已经结束。还应检查漏洞组件、弱口令、文件权限、凭据泄露及其他同服务器站点，按风险逐项修复并验证。
参考资料
需要进一步排查？ 如果网站已经影响访问、订单或数据安全，可先描述问题，再根据实际情况确认处理范围。