当网站被挂马，通过文件完整性监控可以精准定位所有被篡改文件，这是最快、最有效的排查手段。
挂马后为什么要靠文件完整性监控来定位?
文件完整性监控的核心原理是基于哈希值比对，每个文件都有唯一的哈希值，一旦被篡改，哈希值就会改变，监控工具会定期扫描文件系统，计算当前文件哈希值，与之前记录的原始哈希值进行比对，一旦发现差异，就立即报警。
这种机制的优势在于：
- 精度高：能精确到哪个文件被修改，甚至哪一行代码被插入。
- 速度快：相比人工逐行检查代码，自动化监控能在极短时间内完成全盘扫描。
- 覆盖全：不仅监控网页文件，还能监控系统文件、配置文件、数据库文件等。
如何搭建文件完整性监控系统
选择合适的监控工具
市面上有多种文件完整性监控工具,各有优劣，对于网站管理员来说，选择工具时需要考虑成本、易用性、监控粒度。
行业内常用的工具包括：
- 开源工具：AIDE、Tripwire、Samhain，这些工具功能强大，但需要一定的技术基础进行配置。
- 云平台服务：简米云、酷番云等云服务商提供的安全产品，如“云安全中心”、“主机安全”等，内置了文件完整性监控功能。
- 商业软件：如Darktrace、McAfee等，功能全面但价格较高。
对于大多数中小型网站,使用云平台自带的监控功能或开源工具即可满足需求，如果你正在考虑如何选择，可以关注网站安全防护工具价格和性价比，多数情况下，云服务商的基础版安全产品已经够用。
初始化基线建立
安装好监控工具后,第一步是建立初始基线，这个基线记录了所有监控文件在正常状态下的哈希值，是后续所有比对的依据。
具体操作步骤：
- 在网站运行正常、确认未被篡改的前提下，对全站文件进行一次完整扫描。
- 将扫描结果保存为基线文件,建议加密存储，防止被黑客篡改。
- 对基线文件进行离线备份，存放在安全的位置。
设置监控策略与扫描频率
监控策略需要根据网站规模和业务重要性来定制。设置优秀的监控策略，可以避免产生大量无效告警，在搜索网站上找人问“文件完整性监控设置方法”时，也常能看到类似建议。
建议遵循以下原则：
- 核心文件：如网站根目录、配置文件、数据库连接文件，建议实时监控，最好能做到秒级告警。
- 静态资源：如CSS、图片文件，可以降低监控频率，比如每小时扫描一次。
- ：如用户上传的附件目录，监控频率可以更低，但应设置白名单，排除合理的新增文件。
- 系统文件：监控系统关键目录，如
/etc、/bin，扫描频率可以设置为每天一次。
监控告警后的应急处置流程
确认告警真实性
收到告警后,不要慌张，首先要确认告警是否真实有效，排除以下几种情况：
- 正常更新：网站升级、程序更新、插件安装等操作会导致文件变化。
- 配置变更：修改配置文件、调整权限等操作。
- 临时文件：工具生成的临时文件、日志文件等。
如果是正常操作导致的文件变化,更新基线即可，如果确认是未知的、非预期的文件变化，则需要立即启动应急响应。
隔离受影响文件
一旦确认文件被篡改,需要立即采取措施：
- 立即下架：将被篡改的页面从网站中移除，返回404或临时页面。
- 备份样本：保留被篡改文件的原始副本，用于分析攻击手段。
- 阻断访问：如果怀疑是特定IP或用户行为导致，临时封禁对应IP。
分析攻击路径
找到被篡改的文件后,分析攻击是如何发生的。参考一些网站安全防护的常见问题，通常攻击者会通过漏洞注入恶意代码，再通过文件上传功能写入后门文件。
常见的攻击路径包括：
- SQL注入：通过数据库漏洞，将恶意代码写入数据库，再通过页面渲染执行。
- 文件上传漏洞：上传包含恶意脚本的文件，再通过访问触发执行。
- 命令执行漏洞：通过系统命令执行漏洞，直接写入恶意文件。
- 弱口令暴力破解：通过破解后台管理员密码，直接登录后台植入后门。
彻底清除与恢复
攻击路径分析清楚后,进行彻底清除：
- 删除恶意文件：将被篡改的文件删除，或替换为干净的备份文件。
- 修复漏洞：根据分析结果，修复导致攻击的漏洞。
- 重置密码：修改所有管理员账号密码，包括FTP、数据库、后台等。
- 更新全站：如果网站使用了开源CMS，更新到最新版本。
文件完整性监控与其他安全手段的协同
与Web应用防火墙的配合
文件完整性监控与Web应用防火墙（WAF）配合使用，能形成更立体的防护体系，这是网站安全防护中最有效的组合之一。
WAF可以有效拦截常见的Web攻击,如SQL注入、XSS攻击等，而文件完整性监控则负责发现已经突破WAF防御的攻击行为，两者结合：
- WAF“防患于未然”，阻止攻击发生。
- 文件完整性监控“亡羊补牢”，发现已经发生的攻击。
与日志审计的协同
在网站安全运维中，文件完整性监控与日志审计的结合，能帮助管理员快速定位安全事件，很多人在搜索“网站安全防护方案”时，都会关注这一点。
日志审计记录所有访问和操作行为,文件完整性监控记录文件变化，当监控发现文件被篡改时，可以结合日志审计，查看文件被篡改的时间点，分析当时的访问记录，快速找到攻击者使用的攻击手段。
与备份系统的联动
文件完整性监控与备份系统联动，是网站被挂马后恢复数据的最快方式。
当监控发现核心文件被篡改时,备份系统可以自动触发恢复流程，将文件恢复到上一个正常状态，这样可以大幅缩短网站恢复时间，减少业务中断带来的损失。
常见问题与解答
网站被挂马后，如何通过文件完整性监控快速找到被篡改的文件？
答案是直接对比文件哈希值，在监控工具中，找到被篡改文件对应的告警信息，查看其当前哈希值与基线哈希值的差异，如果监控工具支持，可以直接定位到被篡改的具体代码行，如果使用的是云平台的安全产品，一般会提供“文件变更详情”功能，列出新增、修改、删除的文件列表。
文件完整性监控能防止网站被挂马吗？
不能直接防止，但能极大缩短发现时间，挂马发生后，攻击者需要修改文件才能植入恶意代码，文件完整性监控能在文件被篡改的瞬间发出告警，让管理员在恶意代码生效前就采取行动，相比传统的人工巡检，监控的响应时间可以从数小时缩短到数秒。
免费的文件完整性监控工具和付费的差别大吗？
差别主要体现在功能完整性和易用性上，免费工具如AIDE、Tripwire，功能完整但配置复杂，需要手动编写规则，对技术人员要求较高，付费工具如云平台的安全产品，提供图形化界面、自动基线建立、一键排除误报等功能，适合非技术人员使用，在选择时，需要根据网站的重要性和自身技术能力，评估网站安全防护工具价格和功能匹配度。