网站突然打不开、首页被跳转到赌博页面、百度快照里出现你从未发布过的内容、服务器 CPU 莫名跑满——这些都是网站被黑客攻击的典型信号。它不只是"页面难看"：可能意味着客户数据已被拖库、品牌声誉受损，甚至面临监管处罚。本文给出一套当晚就能照着执行的应急处理流程。
一、先判断：网站被入侵的 6 个典型迹象
以下迹象出现任意一项，都应立即按"已被入侵"处理：
- 页面被篡改：标题、首页内容被替换，或整站跳转到博彩、贷款站点。
- 陌生文件与暗链：目录里出现 1.php、x.asp 之类你从没放过的文件；源码底部藏有大量正常访问看不见的隐藏外链。
- 搜索引擎异常：百度快照标题被改、收录结果里混入赌博关键词或陌生页面。
- 访问变慢或频繁 502/504：排除流量增长后响应仍明显变慢，可能已被植入挖矿脚本，或正遭受 DDoS / CC 攻击。
- 服务器与后台异常：CPU、内存、带宽长期跑满，出现陌生的计划任务；管理员密码被改、后台多出陌生账号、登录日志有大量境外 IP 失败尝试。
- 外部告警：浏览器提示"该网站包含恶意软件"、安全软件报毒或被自动关闭、云服务商通知你网站正在攻击他人。
发现被攻击后，第一反应往往是"赶紧删文件、赶紧重装系统"。这是错的。删文件和重装会破坏现场，让你无法定位入侵入口，攻击者用同一条路径几小时内就能再次进来。
二、五步应急流程：网站被攻击当晚就该做的事
隔离止损——切断攻击者的操作通道
- 不要直接关机（会丢失内存中的证据）；先把网站下线，或用防火墙限制外网访问。
- 在云防火墙 / WAF / 系统防火墙中封禁攻击来源 IP。
- 立即修改所有相关密码：服务器、网站后台、数据库、FTP、云控制台、CDN 与域名后台（域名后台被控会直接改 DNS 劫持）。改用 16 位以上随机密码并开启二次验证。
- 删除陌生的 SSH 公钥、管理员账号、API 密钥与第三方应用授权。
完整备份——保留现场，别急着清理
- 全量备份网站文件（含后门文件），打包到服务器之外的存储；同时导出数据库。
- 打包服务器日志：Web 访问日志、错误日志、登录日志。日志通常只留几天到几十天，拖久了就没了，这一步越早越好。
- 记录关键文件时间戳与哈希，截图保存被篡改页面、异常后台记录、报毒提示，为取证与报案留证。
定位入口——搞清楚攻击者是怎么进来的
这是最关键、也最需要经验的一步。常见入口：后台弱口令被爆破、CMS 及插件漏洞未打补丁、网站代码漏洞（SQL 注入、文件上传、命令执行）、中间件配置不当（如 Redis 未授权访问）、过期的第三方组件、离职人员留存的账号。定位方法：从最早的异常文件时间点往前推，对照同期 Web 日志，找出带明显攻击特征的请求，还原攻击链。
彻底清除——不只是删几个文件
攻击者通常留了不止一个后门，只清网站目录很容易"清了又回来"。清理范围要覆盖：
- 网站文件：删除 Webshell 与挂马文件，对比官方源码找出被篡改的文件，用干净版本覆盖核心程序。
- 数据库：清理被注入的恶意记录与后门管理员账号，检查是否有恶意触发器 / 存储过程。
- 系统层：检查计划任务、启动项、SSH 授权公钥、系统用户、被替换的系统命令。
- 中间件 / DNS / CDN：检查是否被加入恶意重定向或反向代理规则，清空 CDN 缓存，核对域名解析。
- 修复入口漏洞：升级版本、打补丁、改弱口令、关停无用端口。这一步不做，前面全白干。
更稳妥的做法是在干净环境里重新部署：干净源码 + 清洗后的数据 + 最新组件 + 新密码，而不是在已被入侵的系统上"打补丁"。
加固与恢复上线——确认干净后再开站
- 上线前重新体检，确认无残留后门与未修复漏洞；部署 WAF 拦截注入、上传、命令执行等攻击。
- 开启文件完整性监控与异常登录告警；建立每日自动备份 + 异地存储，保留至少 30 天并定期演练恢复。
- 清理干净后到百度搜索资源平台提交申诉，申请解除风险标记、加快快照更新。
- 若涉及用户数据泄露，按《网络安全法》《个人信息保护法》履行告知与报告义务。
三、常见攻击类型与针对性处置
| 攻击类型 | 典型表现 | 针对性处置 |
|---|---|---|
| 网页挂马 / 暗链 | 页面被插入恶意脚本或隐藏外链，正常访问不易察觉 | 对比源码找篡改文件，清除注入内容，修复上传与编辑器漏洞，清 CDN 缓存 |
| SQL 注入 / 拖库 | 数据库被批量读取、用户数据泄露，表内出现垃圾数据 | 修复注入点、改用参数化查询，清理垃圾数据，评估泄露范围并履行报告义务 |
| DDoS / CC 攻击 | 流量暴涨、网站打不开、服务器带宽跑满 | 接入高防 IP 或云 WAF，配置限速与 CC 防护，必要时联系运营商清洗流量 |
| 勒索加密 / 挖矿木马 | 文件被加密留勒索提示，或 CPU 长期 100%、电费异常 | 隔离断网、保留证据，从干净备份恢复；定位异常进程与计划任务并清除 |
四、如何预防网站再次被攻击
1. 账号、组件与补丁
- 后台、服务器、数据库、云控制台使用独立强密码（16 位以上）并开启二次验证，后台限制仅公司出口 IP 访问；删除默认、测试与离职人员账号。
- CMS、插件、框架、中间件及时升级到最新安全版本，删除不用的插件与模板，关闭不必要的端口与服务。
2. 防护、监控与备份
- 上线 WAF 拦截常见攻击；用文件完整性监控，文件一被改动立即告警；日志保留不少于 6 个月并集中存储到服务器之外。
- 建立每日自动备份 + 异地存储并限制备份文件访问权限，定期做恢复演练——只备份不验证等于没有备份。
3. 定期做安全评估
上线前和重大改版后，对网站做一次渗透测试或网站安全评估，主动发现 SQL 注入、文件上传、越权、弱口令等风险，比被攻击后再补救成本低得多。可参考我们的网站安全评估服务了解检查范围与交付物。
五、什么情况必须找专业公司处理
小范围挂马、单点弱口令，团队里有懂安全的技术人员可自行处理；但出现以下任一情况，建议尽快交给专业安全团队，否则越拖损失越大：
- 找不到入侵入口：清了几次、换了密码，网站又被改回去，说明入口没堵住。
- 涉及数据泄露：用户信息、订单、支付数据可能已被拖库，涉及合规与法律风险。
- 服务器已被完全控制：系统命令被替换、存在 rootkit，内网其他机器也被波及。
- 被勒索加密、持续遭 DDoS，或需要取证报案：业务中断，需要专业处置、数据恢复、流量清洗与证据固定。
- 网站承载核心业务或团队没有安全人员：电商、金融、政企类站点停机一小时都是损失，需要快速专业介入。
专业团队的价值不只是"清理干净"，更在于溯源入口、评估泄露范围、修复根本漏洞、建立长期防护。我们的应急响应与渗透测试服务均可出具完整报告与整改方案。
六、常见问题 FAQ
Q1：网站被黑客攻击后，第一件事应该做什么？
先止损再排查。立即隔离受影响的服务（下线或限制外网访问），同时保留现场——不要急着重装或删文件，先把网站文件和数据库完整备份一份，再定位入侵入口。
Q2：被入侵的网站直接重装系统能解决问题吗？
不能。重装只清除了已知后门，如果入侵入口（被泄露的后台密码、未修复的漏洞、过期组件）没堵住，攻击者用同样的方法几小时内就能再次进来。必须先修复入口漏洞再重新部署。
Q3：删掉所有可疑文件，就算清理干净了吗？
不够。攻击者常留下多个隐蔽后门（WebShell、计划任务、被篡改的系统命令、隐藏管理员账号、数据库触发器），只在网站目录里找文件很容易遗漏。需同时排查服务器账户、启动项、数据库与 CDN 缓存。
Q4：小网站也会被黑客攻击吗？
会。绝大多数入侵并非针对特定目标，而是自动化扫描器批量扫描存在已知漏洞、弱口令或过期组件的站点。网站规模小、无人运维，反而更容易成为首选目标，被挂马、被用于跳转赌博站点或充当攻击跳板。
网站正在被攻击？24 小时应急响应待命
深度安保（广州）商业顾问有限公司 · 网络安全事业部
提供应急响应、渗透测试、网站安全评估、安全加固与等保合规咨询，服务粤港澳大湾区。提供企业名称与网站域名，我们将在 24 小时内回复并给出初步处置建议。
