网站被黑了怎么办：入侵后的应急处置

先冷静：顺序比速度重要

发现网站被黑（首页被改、跳到赌博站、服务器多了陌生文件），第一反应常是"赶紧重装"。但乱操作的损失往往超过入侵本身：证据被抹掉，入侵路径没找到，装好之后一周内原样再被打一遍。应急处置有固定顺序：隔离、取证、恢复、加固，一步不跳。

四步应急顺序

1. 隔离：把站点摘下公网——关停 Web 服务、启用维护页或防火墙只放行自己的 IP。目的不是惩罚网站，是止损并保留现场。
2. 取证：在动任何文件之前，先做磁盘快照或把整站目录、访问日志、系统日志打包存档。这是之后"怎么进来的"的唯一线索，也是必要时报警的凭据。
3. 恢复：优先用"时间上早于入侵"的干净备份整体还原，而不是在染毒的文件里一个个挑。没有可用备份时，才退而求其次做清理 + 全量代码比对。
4. 加固：恢复后立即轮换所有凭据——服务器密码、数据库密码、密钥文件、第三方服务的 API 凭证，然后堵入侵路径（见下一节）。

为什么不能直接重装

重装系统会抹掉日志与被篡改文件，取证线索归零：你不知道入侵者从哪进来、放了什么后门、待了多久。正确姿势是先快照取证，再重装也不迟——顺序换一下，结果天差地别。

入侵路径通常就四条

• 弱密码：admin/123456 这类密码或套用别处泄露的密码，是最常见的正门。
• 过期的程序与插件：建站系统和插件没及时更新，老漏洞直接被批量扫描利用。
• 泄露的密钥：密钥文件进了代码仓库或截图，等于把钥匙插在门上。
• 可写目录被上传脚本：上传目录没限制文件类型，被塞进可执行脚本。

对照这四条自查，比对照"入侵者多聪明"的想象有用得多：绝大多数入侵不是定向攻击，而是自动化扫描撞上了没关的门。把四条门都关上，你就退出了绝大多数攻击脚本的目标名单。

恢复之后的两件事

第一，确认备份策略真的在跑：这次能救回来是运气还是制度？如果靠运气，立刻补上自动备份加恢复演练。第二，观察一两周日志：入侵者常留有"过几天再回来"的后门，留意陌生的登录记录与计划任务（crontab 里多出来的条目尤其值得逐条确认）。

一句话总结与下一步

被黑后的生死线只有一条：有没有一份早于入侵的备份。顺序记牢——隔离、取证、恢复、加固，重装永远排在取证之后。

下一步该读什么

• 如何定期备份网站文件与数据库：应急能不能活下来，取决于这份备份存不存在
• SSH 密钥登录：告别密码爆破：加固第一步：关掉密码登录这条最常被撞的门