site 查询发现站点多出上千条博彩关键词页面，sitemap 里也被塞进了八百多条陌生地址。文件修改时间是凌晨三点，同目录下还多出几个 php 文件。sitemap 是每天由定时任务生成的，生成脚本没被改过。
一开始怀疑是「上传目录权限过宽 攻击者直接放置静态页面并写进 sitemap 目录」，查了一圈，方向不对。
原因不止一个，得分开看。木马往数据库写入文章记录 生成器直接把它们当成正常文章。也可能是模板被插入隐藏链接 蜘蛛抓取时顺着链接发现大量落地页。
少数情况下是sitemap 生成脚本引入了外部地址源 被抓取后自动合并。
第一件事是停掉生成任务并备份当前 sitemap
cp sitemap.xml sitemap.bak-20261112 && crontab -l | grep -n sitemap然后按发布时间筛出异常记录
SELECT ID, post_title FROM wp_posts WHERE post_date > '2026-11-10 00:00:00' AND post_status='publish';随后查最近改动过的可执行文件
find /var/www -name '*.php' -newermt '2026-11-09' -type f末了清理后重新生成并确认条数回到正常区间
python build_sitemap.py --dry-run | wc -l改完先别撤，确认这几项。清理后 sitemap 条数从九万一回落到九万，site 查询里的博彩页在两周内逐步消失，服务器日志中陌生落地页的请求也归零。
挂马清理完成后一定要复查 sitemap 和数据库两侧，只删页面不删记录，下一次生成会原样再长出来。如果同一现象隔几天又出现，说明根因没找到，别当偶发处理。