如何检查PbootCMS是否被入侵？

结合之前分享PbootCMS安全加固、防入侵相关配置，检查站点是否被入侵可以从核心文件异常、后台行为异常、搜索引擎异常、工具扫描这几个维度系统排查，快速定位入侵痕迹。
一、基础URL与页面异常排查

‌检查404页面鲁棒性‌：访问站点下不存在的路径（如/news/aaa.bbb），确认是否正常返回404页面，避免攻击者利用异常路径注入恶意内容。
‌前台页面肉眼排查‌：随机点击首页、栏目页、内容页，查看是否有陌生的黑链、隐藏跳转、陌生弹窗，检查标题是否被恶意篡改。
‌搜索引擎快照排查‌：在百度搜索输入site:你的域名，查看搜索结果中是否出现非法、违规的陌生内容，确认是否被搜索引擎收录了恶意页面。

二、核心文件与目录排查

‌检查文件修改时间‌：通过FTP或服务器文件管理器，查看/apps、/core、/config、/template这些核心目录下的文件修改时间，找出非你操作的异常修改文件。
‌排查陌生文件‌：检查根目录下是否出现陌生的.php文件（如xxx.php、shell.php），重点关注/uploads、/static目录下是否有后缀为.php的可执行文件。
‌对比官方原版文件‌：将当前站点的核心文件与PbootCMS官方原版安装包的同名文件做对比，检查是否有被篡改的代码片段。

三、后台与数据库排查

‌检查后台登录日志‌：登录站点后台，查看系统操作日志，确认是否有陌生IP的异常登录记录，检查是否有非你添加的管理员账号。
‌数据库内容排查‌：登录数据库管理工具，检查ay_admin表中是否有陌生的管理员账号，检查ay_content表中是否有非你发布的陌生违规内容。
‌验证后台功能‌：尝试发布一篇新文章，检查是否能正常保存，确认后台功能是否被恶意篡改限制。

四、专业工具深度扫描

‌使用木马扫描工具‌：下载安装D盾_防火墙，对网站根目录进行全盘扫描，自动识别隐藏的WebShell后门、恶意代码片段。
‌服务器日志排查‌：查看Nginx/Apache的访问日志，筛选出包含admin.php、shell、eval等关键词的异常请求，定位攻击者的入侵路径。
‌端口与进程排查‌：登录服务器后台，查看是否有陌生的异常进程在运行，检查非必要端口是否被开放。

五、主机级安全验证

‌检查服务器其他站点‌：如果服务器上托管了多个站点，逐一排查其他站点是否也出现被黑痕迹，确认是否是服务器级别的入侵。
‌验证防火墙配置‌：确认服务器防火墙、Web应用防火墙（WAF）规则是否正常生效，检查是否有陌生IP被放行的异常配置。

如果排查后发现站点已经被入侵，可先备份全站数据，使用官方最新版本的干净程序覆盖核心文件，再针对性清理木马和恶意内容，避免残留后门导致反复被黑。