前两篇讲的都是“防线怎么筑”，这篇讲防线被突破的那天怎么应对。被黑的典型信号：搜索结果里自己的站挂满陌生页面（SEO 蜘蛛劫持）、用户报毒（挂马）、流量曲线诡异飙升、文件时间戳批量变新、后台出现不认识的账号。《网站被挂马被跳转应急排查：文件比对、计划任务与 .user.ini》讲过 WebShell 清理的具体手法，那篇是术，这篇是道——完整的应急响应流程。记住一个总原则：慌乱中做的决定比黑客造成的损失更大，流程比反应速度重要。
第一步：隔离止损，把伤害封在现状。发现被黑的瞬间，先做两个决定。一，要不要立刻下线？如果站点在向访客投毒、被搜索引擎标记“此网站可能会损害您的计算机”，直接下线（Nginx 返回 503 或关停入口），品牌受损比流量中断严重得多。二，保留现场证据，别急着删！手快的新手第一反应是把可疑文件删光，这一删，攻击路径就永远查不清了。正确的隔离动作：
# 1. 保护现场：先打包快照再清理
sudo tar czf /root/incident-$(date +%Y%m%d).tar.gz \
/var/www /var/log/nginx /var/log/auth.log /var/log/syslog
# 2. 临时下线（503比断连优雅，用户知道是维护）
# server块里 return 503; 或停掉对外入口
# 3. 改所有凭据（在干净的另一台机器上操作）：
# SSH密码/密钥、数据库密码、WP管理员、后台面板密码
# ——假设它们已经全部泄露，因为大概率是的
第二步：取证定位入口。目标不是抓黑客，是搞清楚“从哪进来的”，不然恢复完原样再被打一次。三个证据源按优先级查：
# 证据源1：登录记录——SSH有没有被攻破
last -20 # 最近登录（可疑IP/陌生用户名？）
sudo lastb | head # 爆破记录（量大说明SSH一直裸奔）
# 证据源2：Web访问日志——哪个请求落下了WebShell
# 在打包的日志里搜可疑特征（《网站被挂马被跳转应急排查：文件比对、计划任务与 .user.ini》讲过的文件名/参数特征）
zgrep -E "(eval|base_decode|system|passthru)" /var/log/nginx/access.log* | head
zgrep "POST" /var/log/nginx/access.log* | awk '{print $7}' | \
sort | uniq -c | sort -rn | head -20 # POST请求集中打的文件
# 证据源3：文件系统——webshell的落点
find /var/www -name "*.php" -mtime -14 -ls # 两周内新改动的PHP文件
find /var/www -name "*.php" -size +200k # 超大PHP文件（混淆堆砌）
三类记录对上号，入口基本能还原：常见剧本是 SSH 爆破成功或弱密码插件漏洞被利用，WebShell 落地后横向翻文件。确认入口后修复它：补插件洞（升级或下线）、关 SSH 弱口令（回到《SSH加固两板斧：密钥登录+fail2ban，让爆破脚本空手而归》的密钥登录）、修文件权限（《一机多站组织术：server块规范化、独立FPM池、权限隔离》的独立用户隔离这时候显价值——隔离好的站横向不了）。
第三步：恢复。这条线记住一个铁律：**不要在旧环境上打补丁式清理，直接重建**。你不可能百分之百确认清掉了所有后门——攻击者留的备用入口可能藏在你看不懂的地方。标准动作：重装系统或换新服务器，从《备份不是拷个压缩包完事：一套能救命的最小备份体系》的备份拉起干净环境（注意：备份的时间点要在入侵之前！用被入侵期间做的备份恢复等于把后门原样装回来），数据文件迁移后按《网站被挂马被跳转应急排查：文件比对、计划任务与 .user.ini》对 WP 上传目录和数据库做一次完整的恶意内容扫描，再按《SSH加固两板斧：密钥登录+fail2ban，让爆破脚本空手而归》《UFW防火墙十分钟入门：先立规则再开门，别把自己锁外面》《SSL Labs冲A+：Mozilla配置生成器抄作业，HSTS加TLS1.3一步到位》把加固全套做上，最后切 DNS 上线。这套流程前提是备份体系平时就位——应急响应的成败，一半在事发当天，一半在平时的备份积累。
第四步：复盘，把事故变成资产。写一份给自己看的报告，回答四个问题：入口是什么（补上）、为什么没早点发现（监控缺哪补哪——《netdata一键装监控：每秒级仪表盘配告警，出事先于用户知道》的告警、《一条 awk 命令，把蜘蛛抓取行为做成报表》的日志报表）、为什么能横向（隔离缺哪补哪——《一机多站组织术：server块规范化、独立FPM池、权限隔离》的独立池）、恢复用了多久（备份和文档哪里不顺改哪里）。SEO 层面的收尾别漏：挂马期间被搜索引擎标记的，用搜索资源平台的申诉入口提交重新审核（《百度索引量波动排查：索引量工具、流量关键词与降权的三线对照》的索引量排查流程走一遍），清理效果要看收录数据回归才算完。
最后给个心态建议：被黑不丢人，所有长期运营的站点都会遇到。丢人的是被黑两次——入口没找到、备份没验证、流程没复盘，同样的坑摔第二遍，那才是运营事故。这份流程建议现在就存下来，别等到用的时候现找。
相关阅读：应急响应是谁都不想用、但不能没有的一篇。《从零建站第一步：技术栈选型总纲，别一上来就纠结框架》运营组把它压轴，配合总纲的加固段提前布防，出事概率本身就低。
A5创业网 版权所有