网站被黑了怎么办？

　　做网站运维久了，见过太多站长遇到网站被黑时慌了手脚的样子。有人上来就把可疑文件全删了，结果入侵痕迹也一并清除，连黑客怎么进来的都查不出来；有人急着恢复网站，后门没清干净，没两天又被二次入侵，损失翻了倍；还有人干脆重装系统，之前的所有数据和收录全没了。

　　其实网站被黑不是世界末日，只要按正确的步骤一步步来，就能把损失降到最低，还能避免以后再出类似问题。

　　第一步：第一时间紧急隔离，切断黑客后路

　　这是最关键也是最容易被忽略的一步。发现网站被黑后，不要急着改密码、删文件，先立刻断开服务器网络，或者在防火墙里禁止所有外部访问。

　　如果不先隔离，黑客可能会继续上传恶意代码、窃取数据库数据、甚至植入更隐蔽的后门，还可能把你的服务器当成肉鸡攻击其他网站，到时候麻烦就更大了。

　　第二步：完整备份所有数据，保留证据

　　隔离之后，不要对网站文件做任何修改，先把整个服务器的数据完整备份一份，包括网站源码、数据库、服务器日志、访问日志、错误日志。

　　这份备份非常重要，一方面是为了万一后续操作失误可以恢复数据，另一方面这些日志和文件里藏着黑客的入侵痕迹，是排查漏洞、溯源攻击的关键。如果后续需要报警或者找安全厂商协助，这些都是必备的证据。

　　第三步：排查入侵痕迹，找到漏洞入口

　　接下来就是最核心的排查环节，要搞清楚黑客是怎么进来的，都做了什么。

　　先看文件修改时间：找出最近 72 小时内被修改过的文件，尤其是 js、php、asp 这类动态文件，很多一句话木马、webshell 都会伪装成正常文件。

　　查服务器和网站日志：重点看异常的 IP 访问记录、POST 请求、后台登录记录，有没有陌生 IP 在凌晨批量扫描端口、尝试登录后台。

　　扫恶意代码：用专业的安全扫描工具，比如 ClamAV、D 盾，全盘扫描服务器，找出隐藏的木马、后门和病毒。

　　常见的入侵原因无非这几种：弱密码、未及时打系统补丁、第三方插件 / 模板有漏洞、FTP/SFTP 泄露、服务器端口开放过多。

　　第四步：彻底清除恶意代码和后门

　　找到恶意文件后，不要直接删除，先复制一份留作证据，然后再彻底删除。重点要注意隐藏的后门，很多黑客不会只留一个入口，会在多个目录植入不同的后门，甚至修改系统文件，就算你删了 webshell，他还能再进来。

　　如果自己排查不彻底，建议找专业的安全团队帮忙，避免留下隐患。

　　第五步：修复所有漏洞，堵住入口

　　清除完恶意代码后，不要急着恢复网站，先把所有漏洞都补上：

　　修改所有账号的密码，包括服务器、数据库、后台、FTP，一定要用强密码，不要用生日、手机号这种简单的。

　　升级服务器系统和所有软件到最新版本，打上所有安全补丁。

　　卸载不用的第三方插件和模板，关闭不用的端口和服务。

　　检查网站后台权限，删除多余的管理员账号，限制普通账号的权限。

　　第六步：测试安全后，恢复网站运行

　　漏洞修复完成后，先在本地搭建测试环境，把备份的网站数据导进去，测试所有功能是否正常，确认没有残留的恶意代码。

　　测试没问题后，再逐步恢复服务器的网络访问，先开放部分端口，观察 24 小时，看有没有异常的访问和操作，确认安全后再完全恢复正常运行。

　　第七步：后续安全加固，防止再次被黑

　　网站恢复后，不能掉以轻心，要做好长期的安全防护：

　　开启服务器防火墙和入侵检测系统，实时监控异常访问。

　　定期自动备份数据，最好异地备份，不要只存在服务器上。

　　每周做一次安全扫描，每月做一次全面的安全检查。

　　不要随意下载来源不明的插件和模板，尽量用官方正版的。

　　最后提醒一句，网站安全永远是预防大于治疗。平时多花点时间做好基础防护，比被黑了之后花几倍的精力去补救要划算得多。如果真的遇到自己处理不了的攻击，不要硬扛，及时找专业的安全团队协助，避免造成更大的损失。