网站被黑，通常以三种方式被发现：客户收到诈骗短信说"你们网站有病毒"；搜索引擎给搜索结果打上"该网站可能被篡改"的提示；有一天你突然发现自己打不开后台了。不管哪一种，第一时间的处理动作几乎决定了后面要付出多少代价。这篇文章按实际操作顺序，把"被黑之后该做什么"讲清楚。顺序很重要：先止血、再摸清范围、然后清理、最后加固和善后。很多人一上来就删文件、重装程序，反
网站被黑，通常以三种方式被发现：客户收到诈骗短信说"你们网站有病毒"；搜索引擎给搜索结果打上"该网站可能被篡改"的提示；有一天你突然发现自己打不开后台了。不管哪一种，第一时间的处理动作几乎决定了后面要付出多少代价。
这篇文章按实际操作顺序，把"被黑之后该做什么"讲清楚。顺序很重要：先止血、再摸清范围、然后清理、最后加固和善后。很多人一上来就删文件、重装程序，反而把证据和线索一起删没了，问题还会再犯。
一、第一时间：先止血，不要急着删
1. 判断是"网站被改"还是"服务器被入侵"。如果只是首页多了一段代码、某个页面被替换成赌博页面，多半是程序层面的挂马；如果服务器上别的站点、别的目录也出问题，说明整台服务器已经被拿下，处理方式完全不同。
2. 立刻备份现场，再动手。把当前整站文件、数据库、访问日志完整打包存一份到本地或另一台机器。这份"被黑时的快照"是后面找入口、判断范围的唯一依据，删掉就再也拿不回来了。
3. 限制外网访问。如果情况严重，最稳妥的做法是先把站点切到维护页或限制 IP 访问，避免继续被植入、避免访客看到不安全内容。这一步要和业务方确认，别在客户正在推广期直接停站。
4. 更换所有相关密码。后台账号、FTP/SSH、数据库、域名管理、服务器面板，全部换一遍，而且不要用同一个密码。入侵者往往留了多个后门，改一个不能解决问题，但能缩小损失面。
二、摸清范围：到底被改了什么
1. 文件层面。按"最后修改时间"排序，重点看最近被改过的文件。核心程序、模板文件（尤其是头部、底部这类全站引用的公共文件）、.htaccess 或 nginx 配置，是最常被注入的地方。
2. 内容层面。用搜索工具在整站文件里搜赌博、彩票、代开等关键词，同时查有没有 <ｓｃｒｉｐｔ src> 指向陌生外域名的引用。这类暗链往往藏在公共模板里，不搜很难发现。
3. 数据库层面。文章表、用户表、配置表里被插入的内容也要查，尤其看后台用户表里是不是多了陌生的管理员账号。
4. 日志层面。看访问日志里明显的异常请求：大量 POST 打向同一个文件、陌生的上传目录、异常的用户代理。日志如果没开或已被清空，这一步就只能靠文件时间判断了。
三、清理与还原：用备份还是手工清
1. 有干净的备份，优先做全量还原，再补上从备份时间点到现在的正常数据更新。这是最快也最彻底的一条路。注意：备份必须早于被入侵的时间点，否则等于把木马一起还原回来了。
2. 没有可靠备份，就要手工清理：删除陌生文件、还原被篡改的核心程序与模板、清理数据库里的恶意插入内容、删除多余的后台账号。这一步建议由熟悉该 CMS 的人来做，程序文件版本对不上会直接导致网站打不开。
3. 处理完先别急着放开访问。清理完成后用一个临时地址自测一遍，确认首页、栏目页、后台都正常，再生效。
四、加固：堵住进来的那扇门
1. 补齐程序与插件补丁。绝大多数入侵都是利用了已知漏洞。CMS 内核、插件、主题要更新到当前版本，这是性价比最高的一件事。
2. 后台入口做处理。不用默认后台路径，加上登录验证码和失败次数限制，能挡掉大量自动化爆破。
3. 上传目录禁止执行脚本。把上传目录里的脚本执行权限关掉，即使有人传了木马文件也跑不起来，这是非常有效的一道防线。
4. 目录权限收紧。网站目录对 web 用户只给读和执行权限，只有少数必须写入的目录（缓存、上传）才开放写权限。
5. 装上监控。服务器层面的防护规则、文件完整性监控，能在文件被改动时给出提醒，把"发现时间"从几个月缩短到几小时。
五、善后：这些事不做，后遗症会拖很久
1. 处理搜索引擎的提示。清理干净之后，到搜索引擎站长平台提交安全检测申请，让它重新抓取并解除警示。这一步不做，客户搜到你的时候看到的还是"该网站可能被篡改"。
2. 检查有没有被做隐藏跳转。有些挂马只对搜索引擎爬虫生效，对普通访客完全正常，这类"隐藏跳转"要在源代码和服务器配置里逐项排查。
3. 复盘入口。写清楚这次是从哪个漏洞进来的、什么时间被利用的、处理用了多久，形成记录。同一个入口被用两次的情况很常见。
4. 通知相关方。如果用户数据有泄露风险，要按规定评估并告知；如果网站上还挂着留资入口，及时提醒客户，避免继续有客户收到诈骗信息。
总结
被黑之后的标准动作可以记成五步：隔离（先备份、限访问、改密码）→ 摸底（文件、内容、数据库、日志）→ 清理（优先后备还原）→ 加固（补丁、权限、入口、监控）→ 善后（申诉、复盘、通知）。
另外提醒一句：域名、服务器、程序这三样东西的续费和更新如果长期没人管，被黑只是时间问题。与其出事之后花几天抢救，不如按月做一次巡检。锐客网提供企业网站安全巡检与全年托管维护，想看看贵站目前安全状况的，来电：137-9839-1694。
