核心要点（TL;DR）

• 网页防篡改的核心是“改不了+改得快发现”，靠权限收敛与完整性校验双保险。
• 只做定时扫描不够，篡改往往在分钟级完成传播，需配合实时监控与告警。
• Web目录禁止写入是成本最低的防篡改手段，上传目录必须单独隔离。
• 防篡改无法替代漏洞修复，入口未堵住，还原文件仍会被再次篡改。

凌晨两点收到监控短信说首页被改成了博彩页面，登录服务器却发现文件时间戳正常、内容确实被替换——这是运维最不愿遇到的场景。网页被篡改往往不是“文件坏了”，而是入口已被攻破。本文面向要动手解决问题的运维与站长，把网页防篡改的原理、落地步骤和常见误区讲清楚，给出可直接执行的命令与检查清单。

一、网页防篡改到底是什么

网页防篡改是指通过技术手段保证网站文件与页面内容不被非预期修改，或在被修改的第一时间发现并恢复。它包含三层能力：改不了（权限与只读挂载）、改得快发现（完整性校验与实时监控）、改完能还原（备份与快速回滚）。很多团队只做了第三层，结果每次都是被动救火。

常见实现形态有三类：主机层文件监控（inotify、AIDE、Tripwire）、Web层防护（WAF规则拦截上传与写入）、以及带内核驱动或只读挂载的专用防篡改系统。对中小站点，主机层方案配合规范发布流程已能覆盖大部分风险。

二、原理拆解：篡改是怎么发生的

攻击路径通常分三步：通过漏洞（文件上传、反序列化、弱口令后台）写入WebShell；用WebShell修改页面、植入暗链或跳转代码；最后清理日志、修改时间戳掩盖痕迹。因此防篡改不能只盯页面文件，还要盯可执行脚本、计划任务、SSH公钥与启动项。

完整性校验的原理是记录文件哈希基线，定期或实时比对差异：

find /var/www/html -type f -name "*.php" -exec sha256sum {} \; > /root/baseline.sha256
sha256sum -c /root/baseline.sha256 2>&1 | grep -v OK

输出中非OK的行即为变更文件。基线必须在干净状态下生成，并在每次正常发布后更新，否则告警会被业务变更淹没。

三、四步落地：从权限到告警

步骤1：收敛目录权限

Web根目录对运行用户只读，上传目录单独隔离且禁止执行脚本：

chown -R root:www-data /var/www/html
find /var/www/html -type d -exec chmod 755 {} \;
find /var/www/html -type f -exec chmod 644 {} \;
chmod 750 /var/www/html/uploads

Nginx在uploads目录关闭PHP解析：location ~* /uploads/.*\.(php|phtml)$ { deny all; }。这一步能挡掉大量上传型WebShell。

步骤2：建立备份与基线

代码与数据库每日异地备份，保留7到30天；备份文件本身不可被Web进程写入。随后生成哈希基线并加入cron每日校验，异常结果推送企业微信或邮件。

步骤3：实时监控关键目录

用inotifywait监控写入与移动事件，脚本示例：

inotifywait -mrq -e modify,create,delete,move /var/www/html \
  --format '%T %w%f %e' --timefmt '%F %T' | while read line; do
  echo "$line" >> /var/log/web_tamper.log
  curl -s -X POST "$WEBHOOK" -d "text=文件变更: $line"
done

注意排除缓存与日志目录，避免噪声告警。生产环境建议用systemd托管该脚本并设置自动重启。

步骤4：接入告警与自动处置

告警要带文件路径、变更时间与操作进程，便于5分钟内定位。对核心页面可配置自动从只读备份恢复，但恢复前务必保留现场副本用于溯源。

四、适用场景与方案对比

在防护建议上，AegisX可提供文件完整性监控与篡改实时告警能力，并与主机安全基线检查联动，适合需要集中管理多台服务器的团队作为监控层补充。

五、常见误区与排查清单

• 误区1：只做定时扫描。扫描间隔内篡改已完成传播，必须叠加实时监控。
• 误区2：只监控页面文件。WebShell、计划任务、SSH公钥同样要纳入校验范围。
• 误区3：恢复即结束。不修入口漏洞，恢复后会被再次篡改。
• 误区4：基线长期不更新。正常发布产生大量误报，最终没人看告警。

应急检查清单：确认外网访问已隔离；比对备份定位篡改范围；检查crontab -l、/etc/cron.*、~/.ssh/authorized_keys与异常进程；审计Web访问日志中的上传与POST请求；修复漏洞后从干净备份恢复并重建基线。

六、行动建议

今天就做三件事：把Web目录改为运行用户只读并隔离上传目录；生成哈希基线并配置每日校验；部署inotify实时监控接入告警。完成后再梳理发布流程，把“更新基线”写进上线步骤。防篡改不是买一个产品就结束，而是权限、监控、备份与漏洞修复共同组成的持续过程。

常见问题（FAQ）

网页防篡改和普通杀毒软件有什么区别？

网页防篡改关注的是网站文件是否被非预期修改，核心手段是完整性校验、权限控制与实时告警；普通杀毒软件基于病毒特征库查杀本地恶意程序，对WebShell和页面内容替换覆盖有限。两者定位不同，防篡改更贴近网站业务连续性，通常部署在服务器侧并与备份恢复联动。

小网站有必要上防篡改吗？

有必要，但可以从低成本方案起步。小站一旦被挂马或植入暗链，会被搜索引擎降权、浏览器拦截，恢复成本远高于预防。建议先做三件事：Web目录只读、每日异地备份、用inotify或定时脚本监控关键文件变化并邮件告警，成本几乎为零。

文件完整性校验会不会误报很多？

误报主要来自未纳入白名单的正常变更，比如程序升级、缓存写入、日志轮转。做法是把校验范围限定在代码与静态页面目录，排除缓存、上传、日志目录，并在发布流程中先更新基线再上线。误报可控后，告警才有可信度。

网站已经被篡改，第一步该做什么？

先隔离再取证：立即下线或切断外网访问，保留被篡改文件与访问日志副本，不要急着重装。随后比对备份定位篡改范围，排查WebShell与可疑进程、计划任务、SSH公钥，确认入口漏洞并修复后，再从干净备份恢复并重新建立校验基线。

防篡改系统能代替漏洞修复吗？

不能。防篡改是检测与阻断层，攻击者仍可通过漏洞上传WebShell、写入计划任务或提权。若入口漏洞未修复，恢复后的文件会再次被篡改。正确顺序是修复漏洞、收敛权限、再叠加防篡改监控，形成纵深防御。