官网被挂马改了首页，我们怎么在两小时内恢复：一次网站攻击应急

一家工厂的官网半夜被挂马，打开首页是赌博和色情链接，正常内容全被盖住了。老板第二天一早被客户电话轰炸，才知道自家门面成了别人的广告牌。摩杰斯接到电话两小时内把站点恢复干净，还顺手堵上了入口。事后复盘，这类事最怕的不是被黑，而是被黑了不知道、恢复了不加固。

一、先止血，别急着修

网站一发现被篡改，第一动作不是去改回页面，而是先断网或关站。让被黑的站点继续对外，等于继续给访客投毒，也可能被利用去打别人。我们到场先把站点切到维护页、断开对外访问，把火势控制住，再谈清理。止血永远优先于修补。

二、从备份还原而不是手动删

很多人习惯手动把恶意代码一行行删掉，删不干净是常事，过两天又复发。我们直接用被黑前一天的干净备份整体还原，再比对确认没有残留后门。备份可靠的话，这一步十分钟就能让站点回到正常状态。手动修是下策，还原才是正解。

三、查清楚是从哪进来的

还原只是把现场擦干净，入口不堵还会再被黑。我们顺着日志查，常见的是旧插件漏洞、弱口令后台、过期的建站程序。找到入口后，该升级的升级、该改密码的改密码、该卸的插件卸掉。不查入口，等于把房门修好却留着撬开的锁。

四、上基础防护别裸奔

这家厂之前网站就是裸奔，没防火墙没监控。恢复后我们给加了基础 WAF、改了后台路径、开了登录告警。小网站不是没人盯，恰恰是自动化扫描的重点目标。几道基础防护加上，被盯上的成本就高了，大部分脚本小子会自动转向更软的柿子。

五、把应急写成可复用的清单

后来我们帮他们把这次流程固化成一份应急清单：谁负责断网、备份放哪、还原找谁、入口怎么查。真出事时照着勾，比临时抓瞎快得多。网站安全不是出事才想，是平时就有预案。

总结：

网站被黑，恢复只是开始，查入口和做加固才是结束。断网止血、备份还原、溯源堵口、基础防护、预案清单，这五步连起来，企业的线上门面才真正立得住。摩杰斯在给工厂做数字化时，官网和商城是面向客户的脸面，安全优先级从来都不该排到最后。昆山、苏州一带工厂的官网、商城如果被黑、被篡改，可以先找摩杰斯应急。

相关阅读：更多同类问题可以看《工厂 IT 服务总览》；延伸阅读《建站默认备份与防护》、《被标记危险后恢复收录》。