如何判断PbootCMS是否被入侵？

结合之前分享的PbootCMS数据库配置、安全加固相关操作，判断站点是否被入侵可以从‌直观异常表现‌、‌文件系统排查‌、‌后台与数据库校验‌、‌日志与工具扫描‌这几个维度系统落地，快速定位入侵痕迹。
一、通过直观异常症状初步判断

出现以下任意一种现象，基本可以判定站点存在被入侵的可能：

从搜索引擎点击进入站点后自动跳转至陌生违规页面，电脑端访问正常但手机端访问异常跳转。
页面源码中出现陌生的<script>、iframe隐藏代码，首页标题、关键词被恶意篡改为无关黑链内容。
清理完木马后几小时内，恶意文件、篡改内容再次自动出现，说明存在持久化后门。
网站后台出现大量陌生499状态码的访问日志，存在大量异常扫描请求。

二、文件系统深度排查

‌核对文件修改时间‌：查看/core、/apps、/config等核心目录下的文件修改时间，找出非运维操作产生的异常修改记录。
‌排查伪装后门文件‌：重点检查/uploads、/static目录下，是否存在伪装成图片的PHP文件（如1531651052463516.png实际内嵌PHP代码），以及上传目录中哈希值异常的陌生PHP后门文件。
‌对比官方原版文件‌：将当前站点核心文件与PbootCMS官方原版安装包文件做哈希对比，确认core/init.php、core/basic/Check.php等核心文件是否被篡改植入恶意加载器。
‌检查隐藏配置文件‌：排查站点根目录下是否存在.user.ini文件，确认是否被设置了auto_prepend_file自动加载恶意脚本的规则。

三、后台与数据库校验

‌后台账号排查‌：登录站点后台，查看系统用户列表，确认是否存在非你添加的陌生管理员账号，检查后台操作日志是否有陌生IP的异常登录记录。
‌数据库内容校验‌：登录数据库管理工具，检查ay_admin表是否被新增陌生账号，内容表中是否被批量插入大量违规黑链内容。
‌后台功能验证‌：尝试发布新文章、修改系统配置，确认后台功能是否被恶意篡改限制，是否存在非预期的自动执行操作。

四、日志与专业工具扫描

‌服务器日志排查‌：查看Nginx/Apache访问日志，筛选出包含eval、shell、base64_decode等关键词的异常请求，定位攻击者的入侵路径。
‌专业工具扫描‌：使用D盾、ClamAV等WebShell扫描工具，对网站根目录全盘扫描，自动识别混淆代码、命令执行API等可疑恶意代码。
‌系统级排查‌：检查服务器进程、定时任务，确认是否存在攻击者留下的持久化恶意程序、SSH公钥等后门痕迹。