感谢各位大佬，提供了很多个思路，我慢慢排查看先吧。 目前先换了服务器，可能存在问题的 PHP 就不放上去了。
location.href?
XSS?

他加的跳转代码删了就行了，关键是我改了服务器密码 FTP 密码什么的 文件调成只读了 都没有作用，他还是会改回来。

目测 数据库被加入代码了
只要一更新网站就会再次加上

先彻查服务器里的 php 文件 之后再改代码什么的

管理员权限被人拿了你调权限有啥用。。

需要运维 wx: antcars 可长期 可一次性

前面套一个 WAF

root: 啥只读
按惯例不应该是重装系统吗

自己的网站被黑还检查不出什么问题？。。。