discuz 被入侵后，最可能被修改的文件

最近发现站点被黑了，现在还不知道是由系统漏洞导致的系统账户被攻陷，还是程序漏洞，文件被篡改。有一些敏感关键词（例如：赌博，电子路单）被恶意指向，点击搜索结果自动跳转到其他站点，而且是大量的，通过搜索“site:xxx.com 赌博”，会发现一大堆。该目的是为该站点导流量，还有传递权重。

为了防止暴露，入侵者会把被篡改的文件时间戳保持不变，所以通过修改时间是发现不到可疑文件的

现在解决办法只限于，查找程序源码，一个一个文件对比最初的文件，最后发现有两个文件最重要，如下：

1. source/function/function_core.php
2. uc_server/control/admin/user.php

因为这两个文件，一个是所有页面都会包含，另一个是ucenter管理用户的时候登陆，账号和密码以及安全问题都获得。

遇到相同问题的朋友，请首先查看这两个文件是否被修改。

还有就是系统的虚拟内存是否有东西，ls -a /dev/shm/ 例如：三个点的... 的隐藏文件

顺便举报一些黑站：

• mujj.wang