网站被挂马/被黑后的处理顺序（附自查清单）

网站被黑后的第一个小时，处理顺序错了会造成二次损失——比如删掉日志，导致查不出入侵路径，修好之后又被黑一次。

正确的处理顺序

1. 先隔离，不要关站。把域名解析临时指到一个维护页，或者用防火墙只放行你自己的 IP。直接关服务器会丢失内存中的进程信息，而且搜索引擎抓不到页面会降权。

2. 完整备份现场。整站文件 + 数据库 + 系统日志 + IIS/Nginx 访问日志，打包下载到本地。这一步必须做，后面所有分析都靠它。很多人第一反应是"赶紧删掉恶意文件"，结果查不出来源。

3. 找到入侵路径。看访问日志里可疑的 POST 请求、异常 UA、大量 404 扫描；看是否有近期被修改的文件（按修改时间排序）；检查是否有新增的管理员账号、计划任务、启动项。

4. 清理与加固。删除恶意文件（注意有些是正常文件的尾部被插入代码，不是新增文件）；改所有密码（数据库、FTP、后台、服务器）；打补丁；关闭不必要的端口和上传目录执行权限。

5. 恢复验证。从干净备份恢复或者修复后的文件上线，逐页检查是否还有跳转代码，用在线查毒工具扫一遍。

6. 提交死链/恢复收录。向百度搜索资源平台提交"死链"和"闭站保护"，如果被降权，需要持续更新原创内容加快恢复。

自查清单（每月做一次）

• 后台密码是否复杂？有没有还在用 admin/123456 的账号？
• 程序、插件、框架是否是最新补丁版本？
• 上传目录是否禁止执行脚本（.php/.asp/.aspx）？
• 数据库端口（3306/1433）是否对公网开放？应该只允许本机。
• 是否有异地备份？备份文件是否也在同一台机器上？
• 服务器系统是否还在支持期内（Windows Server 2012 已停止支持）？

最常见的三个入口

弱密码。占一半以上。扫描器批量试 admin/123456，几小时就能撞开一个。

过期的插件/框架。尤其是老版本 CMS 和上传组件，公开漏洞一大把。

上传功能没限制类型。用户上传一张"图片"，实际是 .aspx 木马，直接拿到服务器权限。

给客户的建议

防护成本远低于事后处理。三件事做完，能挡住绝大多数攻击：后台改强密码 + 关闭默认账号、数据库不对外、每天自动快照 + 每周异地备份。这三条我们给每个客户都配，加起来一年不到 500 元。