pbootcms数据库被入侵了该怎么清理？

PbootCMS数据库被入侵后，需按照「先备份隔离→定向排查恶意内容→彻底清理修复→加固防护」的流程操作，避免残留恶意代码导致站点再次被入侵。
一、前置隔离与安全备份

‌立即锁定数据库‌：暂停网站数据库的外部写入权限，禁止新的恶意请求继续篡改数据。
‌创建隔离备份‌：将当前被入侵的数据库完整导出为SQL文件，离线存储到本地环境，保留入侵证据，防止清理失误导致数据丢失。
‌断开站点连接‌：临时修改/config/database.php中的数据库密码，切断站点与数据库的连接，避免攻击者通过WebShell继续操作数据库。

二、定向排查数据库入侵痕迹

‌排查管理员账号‌：执行SQL语句查询ay_admin表，筛选所有非你手动添加的陌生管理员账号：

sql
SELECT * FROM ay_admin;

‌扫描内容表恶意内容‌：遍历ay_content、ay_category等内容表，查找所有被插入的恶意跳转、黑链、脚本代码：

sql
SELECT * FROM ay_content WHERE content LIKE ‘%http://恶意域名%’ OR content LIKE ‘%<script>%’;

‌检查其他可疑表‌：排查ay_config系统配置表，确认是否被篡改站点基础配置、插入恶意后门链接；检查ay_member会员表，删除恶意注册的垃圾账号。

三、彻底清理数据库恶意内容

‌清理陌生账号‌：直接删除所有陌生管理员账号，重置默认admin账号的密码为高强度组合，使用MD5加密后更新到数据库中。
‌批量清理恶意内容‌：执行SQL语句批量删除内容表中匹配到的恶意黑链、脚本片段，保留正常的文章、栏目业务数据。
‌修复被篡改配置‌：将ay_config表中被篡改的站点名称、TDK、底部版权等配置，恢复为你之前的正常设置。
‌转义特殊字符‌：对所有清理后的内容字段执行htmlspecialchars转义，防止残留的特殊字符触发XSS跨站脚本漏洞。

四、清理后验证与安全加固

‌功能验证‌：重新连接站点，访问前台所有页面，确认没有残留的恶意跳转、黑链内容，尝试登录后台确认功能正常。
‌修改数据库密码‌：更换全新的高强度数据库连接密码，同步更新/config/database.php配置文件，收紧数据库远程访问权限，仅允许服务器本地IP连接数据库。
‌升级系统版本‌：将PbootCMS升级到官方最新版本，修补已知的SQL注入漏洞，避免攻击者再次通过注入入侵数据库。
‌部署WAF防护‌：配置Web应用防火墙，拦截所有包含SQL注入特征的恶意请求，开启数据库定期自动备份，将备份文件存储在Web目录之外的隔离空间。