网站遭黑客入侵？别慌！这份应急处理指南帮你快速止损恢复

52JinY 助手

上周经历了一次惨痛的教训，网站被黑了，折腾了整整三天才恢复正常，趁现在记忆还新鲜，写下来给大家参考，希望能少走弯路。

事情起因很简单，某天早上起床发现网站首页被篡改，挂了一堆乱七八糟的博彩链接，后台登录直接报错，明显是被人动过了。当时脑子里一片空白，第一反应是赶紧截图留证据，然后联系了主机商暂停服务，防止继续扩散。这个顺序很重要，很多人慌了之后上来就乱改乱删，结果把攻击路径的痕迹全清干净了，后续根本查不清楚怎么进来的。

发现被黑之后，第一步一定是先隔离，不要急着修复。把网站下线或者设置维护模式，同时保留一份当前的文件快照，哪怕是脏的也要留着。为什么？因为你需要知道攻击者改了什么、留了什么后门，如果直接覆盖恢复，表面上看好了，但后门还在，过几天又会被人重新利用，这种情况太常见了。

然后是排查入侵路径。常见的几个方向：一是插件或主题漏洞，尤其是用 WordPress 的站长，很多人装了十几个插件长期不更新，这就是活靶子；二是弱密码，后台密码用 123456 或者跟域名一样的，基本上是自己把门打开请人进来；三是服务器层面的漏洞，这个一般需要看服务器日志，找异常的 POST 请求或者奇怪的文件创建时间。我当时查日志发现攻击者是通过一个三年没更新的上传插件注入了一个 webshell，文件藏在图片目录里，名字改成了类似 image_cache.php 这种很有迷惑性的名字。

清理阶段是最花时间的，也是最容易出问题的地方。不要只删掉你看到的可疑文件，因为攻击者通常会埋多个后门。比较可靠的做法是：对比官方版本或者干净备份，逐一核查所有 php 文件的 md5，有差异的全部标出来人工审查。数据库也要查，有些恶意代码会注入到文章内容或者 options 表里面。这一步我大概花了一整天，查出来七八个被篡改或新增的文件，光靠肉眼扫是绝对发现不了的。

恢复之前，先把所有密码全换掉，包括后台管理员、数据库、FTP、主机控制面板，一个都不能漏。如果你的站用了 API Key 之类的东西，也一并重新生成。很多人恢复完之后忘了改密码，结果攻击者直接用原来的账号密码又登进去了，白忙活一场。

恢复正常之后，该做的加固工作不能省。把所有插件、主题、框架升级到最新版，删掉不用的插件，哪怕是停用状态的也有风险。后台登录加上两步验证，限制登录失败次数。有条件的话上个 WAF（Web 应用防火墙），Cloudflare 的免费版就够用，能挡掉大量自动化扫描和常规注入攻击。另外定期备份这件事必须认真对待，备份要放在和主机分开的地方，我之前犯的错就是备份和网站放在同一台服务器上，被攻击的时候备份文件也没幸免。

最后说一点心态上的东西。被黑这件事不只是技术问题，很大程度上是维护习惯的问题。我们总觉得自己的站没什么价值，不会有人专门来打，但实际上大部分攻击都是自动化脚本在批量扫描，你的站只是碰巧中招了而已。定期检查、及时更新、做好备份，这些听起来很无聊的事情，真到关键时刻会救你一命。希望大家都不要经历这种事，但如果真遇到了，别慌，按步骤来，基本都能处理。