網站被掛馬了怎麼辦？發現、止損與恢復順序

掛馬後急著重灌，往往幾天內復發。本文按取證、找入口、止損、清理、恢復、加固六步給出處理順序，說明為什麼不能先重灌，以及入口通常藏在哪幾處、資料庫裡該怎麼查。

網站被掛馬往往不是從首頁開始的。很多站長是在搜尋結果裡看到自家標題變成了一串亂碼，或者客戶反饋點進來跳到了別的站，才發現出問題。 先明確一件事：掛馬不等於伺服器被完全控制，但也不能只刪掉了事。處理順序錯了，通常兩三天後又會復發。 第一步，先取證，別急著重灌。把當前網站目錄打包、匯出最近七天的訪問日誌、記錄異常檔案的時間戳。這些材料決定了你能不能找到入口。重灌會把這些線索一起抹掉，然後你在同一套漏洞上再被打一次。 第二步，找入口。按經驗，入口集中在這幾處：CMS 或外掛的已知漏洞，尤其是長期不更新的主題和外掛；上傳目錄裡的執行檔；後臺弱口令；以及同伺服器上另一個先被攻破的站點。訪問日誌裡重點看 POST 請求、異常 UA、以及深夜時段的集中訪問。 第三步，止損。把站點切到維護頁或暫時下線，關閉上傳功能，然後改掉所有相關密碼：CMS 後臺、資料庫、FTP/SFTP、主機面板、SSH。注意是所有，包括那些你以為沒人知道的老賬號。 第四步，清理。用檔案雜湊或修改時間對比找出被改動、被新增的檔案，重點看入口檔案、頁頭頁尾引入、.htaccess 與 nginx 配置、計劃任務。資料庫也要查：文章內容表、配置表裡常被插入一段指令碼或 iframe。 第五步，恢復。用入侵發生之前的乾淨備份恢復，這一點必須確認清楚時間點，用被感染之後的備份等於把馬一起搬回來。 第六步，加固。後臺路徑改掉並加二次驗證、CMS 與外掛升級到當前版本、上傳目錄去掉執行許可權、目錄許可權收緊、開啟 WAF 或至少對敏感路徑做訪問控制，並安排每週一次的檔案完整性巡檢。 有一個細節值得單獨說：如果伺服器上跑著多個站點，一臺被掛馬，其餘站點要一起查。攻擊者常常橫向翻目錄，把所有能寫的站點都埋一遍。 掛馬的處理成本，絕大部分花在找入口和確認清乾淨這兩件事上。想省這部分時間，平時就要把備份、日誌留存和檔案巡檢做起來。 加速IDC 的雲伺服器與物理伺服器支援自定義安全組與快照備份，高防產品附帶 1T DDoS 清洗，適合把站點入口和回源鏈路一起管起來。