锐客网与深圳市天马力能源科技有限公司达成官网安全维护与性能优化合作：隔离3个恶意文件、恢复官方首页，双语核查后归档1161张未引用图片，857张在用图转WebP使体积减少80.3%，并部署SSL、CDN与WAF防篡改，官网已正常上线。
近日，锐客网与深圳市天马力能源科技有限公司签订官网安全维护与性能优化服务协议。目前该项目已完成全部处置并通过上线验证，客户中英文双语官网（www.powerally.com）已恢复正常访问。感谢客户的信任，本文将本次服务内容与老站接管中容易踩的坑一并做个复盘。
图 1｜官网维护服务协议签署页（甲乙双方签章）
客户背景与官网诉求
深圳市天马力能源科技有限公司（Powerally）成立于 2010 年，总部位于深圳福田，是场景电池产品与应用解决方案提供商，产品线覆盖碱性电池、纽扣电池、锂聚合物电池、动力电池包与储能系统，服务海内外客户。对这样一家以海外业务为重要板块的企业来说，中英文双语官网不只是展示窗口，更是采购方核实资质、比对产品、发起询盘的第一入口。
本次合作前，官网的问题集中在三处：一是前台入口被恶意替换为博彩类劫持页面，搜索引擎收录受到污染，站点正常访问与品牌形象都受影响；二是长期积累的上传图片中有大量文件已无引用，其中不少是十几兆的大图，拖慢页面加载；三是后台入口与管理员凭据沿用旧配置，图片上传目录可被解析执行 PHP 脚本，存在同类攻击再次落地的风险。客户的诉求很明确：先彻底清马、恢复访问，再把性能、传输安全和主动防护补齐，而且中英文两个版本的图片一张都不能丢。
本次服务内容
图 2｜老站接管的五步处置顺序
一是安全处置与取证。维护前先做全量备份，保留 3,743 个文件、约 1.8 GB 的原始副本与时间戳；随后排查确认并隔离 3 个恶意文件——站点前台入口、运行缓存目录、图片上传目录各 1 个，其中后两处为经过混淆的 PHP 木马；恢复 CMS 官方前台入口后，全站恶意特征复检 0 命中。全部样本保留哈希与隔离副本，便于后续对同一批站点做横向排查。
二是后台与服务器加固。更换后台入口路径、管理员用户名及登录密码；核查伪静态规则，补充上传目录禁止执行 PHP 脚本的拦截配置；部署 WAF 防火墙与网站防篡改，并针对数据库、缓存、上传目录配置写入白名单，避免防护策略把站点正常的读写也一并拦下。目录允许写文件、但其中的脚本一律不许执行，是这次加固的基本原则。
三是中英文双语图片资源治理。逐条核对中文版与英文版的图片引用后，将 1,161 张未被使用的图片（约 1.45 GB）移至站外归档区，保留可还原副本；仅英文版引用的 431 张、仅中文版引用的 423 张全部保留。归档前同时核对了数据库、两套模板、页面缓存与历史页面快照，并对两版引用地址逐一验证，中英文页面均未出现误删或死链。
四是图片格式与画质保真。857 张在用图片转换为 WebP 格式，宽度上限 1900 像素，数据库 868 处图片路径同步更新，中文版 429 处、英文版 439 处逐一验证有效；图片总体积由 224.3 MB 降至 44.2 MB，减少 80.3%。转换过程中自动校正拍摄方向、保留色彩配置，61 张含真实透明像素的图片逐张验证透明通道完好，未出现透明底变黑或变白。
五是上线配套。为站点部署 SSL 证书并启用 HTTPS，接入 CDN 加速静态资源，为旧图片地址配置 301 跳转以避免搜索引擎图片收录流失；清空站点缓存并刷新 CDN 后，中英文首页与内容页逐页确认图片显示正常。目前官网已稳定上线。
图 3｜本次维护关键数据
行业要点：老站接管最容易踩的三个坑
第一，只删马、不堵持久化入口。本次两枚木马都藏在图片上传目录和运行缓存目录里，伪装成普通资源文件。清完文件只是第一步，还必须同时做三件事：禁止上传目录执行脚本、用 WAF 与防篡改拦截新增可疑文件、更换全部后台凭据与入口。还有一点常被低估：博彩类劫持内容一旦被搜索引擎或云服务商识别，可能触发域名层面的处置（停止解析、禁止转移），申诉与恢复周期往往比页面修复更长，因此清马之后还要复查搜索引擎快照与域名状态。另一个容易忽略的细节是，开启防篡改前要给 SQLite 数据库、缓存与上传目录留写入白名单——SQLite 读写需要在数据库同目录创建日志文件，目录被锁死后网站会直接报 disk I/O error。防护是否生效、网站是否还能正常打开，必须一起验收。
第二，双语站按单一语言清理图片。中英文内容往往各自引用不同素材，仅按中文版判断「哪些图没用」，很容易把英文版仍在使用的图片当成垃圾清掉，而且这类问题常常要等海外客户反馈才发现。稳妥做法是按语言标识取两版引用的并集再决定归档，归档也先移出而非直接删除，观察一段时间确认无外部引用后再做最终清理。
第三，只转格式、不同步引用。图片改成 WebP 之后，数据库正文、模板静态资源、历史外链与搜索引擎收录里仍可能留着 .jpg / .png 地址。必须同步改写数据库路径，并给旧地址配 301 跳转，否则会同时出现页面裂图和图片收录流失。服务器也要确认已支持 image/webp 的 MIME 类型，避免文件存在却以下载方式返回。
结语
项目上线后，锐客网将按定期巡检、全量备份、凭据轮换与月度维护记录的节奏持续保障站点运行。锐客网（深圳）深耕企业网站建设与维护十五年，服务覆盖网站建设、官网改版、全年托管、安全维护与性能优化。如果您的企业官网也遇到被挂马、加载慢、中英文版本难以同步维护等情况，欢迎联系我们：137-9839-1694。
图 4｜维护报告交付与客户确认（头像已脱敏）
