网站被黑怎么办，先别急着重装系统，先查清入侵来源

网站被黑怎么办？打开后台发现页面跳转到博彩站，或者首页被挂上陌生链接，很多人的第一反应是重装系统。先停一下。重装系统能清掉表面症状，但入侵入口还在，攻击者换个路径就能再次进来。

先查入口，再动系统

服务器被入侵，通常不是系统本身有漏洞。攻击者进门的钥匙往往藏在网站程序里。一个没打补丁的CMS版本、一个上传功能没做类型校验、一个后台弱口令，都能变成入口。重装系统只换了门锁，没堵住墙上的洞。

查入侵来源的核心动作是看日志。Web访问日志、FTP登录日志、SSH登录日志、数据库操作日志，这四类日志能还原攻击路径。重点看异常时间的POST请求、非工作时段登录、陌生IP的频繁访问。日志里出现webshell文件名，比如一个正常目录下多了个随机字符串.php文件，那就是入口线索。

找到入口后，先封IP、改所有密码、下线被篡改页面。再决定是清理还是重装。如果入侵只停留在文件层面，清理干净并补上漏洞即可。如果系统命令被调用、系统账户被添加，重装系统才必要。

风险提示：直接重装系统会丢失所有日志。没有日志，你无法判断攻击者是否留了后门、是否窃取了数据库。下次上线等于把同一扇门再打开一次。

网站被黑怎么办：不同建站阶段，处理重点不一样

刚上线的企业展示站，页面少、功能简单。被黑通常是后台密码太简单或CMS版本太旧。处理时先改后台路径和密码，再升级CMS到最新版，最后检查是否有陌生管理员账号。

带会员系统的商城站，被黑后要优先查数据库。攻击者可能拖走了用户手机号和订单信息。处理时先断开数据库外网访问，再检查是否有异常导出操作。会员数据泄露的影响比页面被改更大。

用开源模板搭的站，被黑往往因为模板自带后门或插件没更新。处理时先停用所有非必要插件，再对比官方模板文件，找出被改动的文件。模板站的文件数量多，逐个对比不现实，用文件校验工具比对手动查找快。

定制开发的站，被黑通常出在代码逻辑上。比如上传接口没校验文件类型、查询参数没过滤。处理时让开发方提供最近的代码变更记录，重点查上传、查询、登录三个模块。

处理动作要按顺序走

先隔离。把被黑站点从负载均衡或CDN上摘下来，或者直接关停对外访问。避免攻击者继续操作，也避免用户看到被篡改内容。如果站点有数据库，暂时关闭数据库的远程连接。

再备份。把当前被黑后的文件和数据库完整打包，单独存放。这份备份用于后续分析，不要覆盖之前的正常备份。如果之前有正常备份，先确认备份时间点是否在入侵之前。

然后查日志。登录服务器，找到Web日志目录。用grep搜索常见webshell特征，比如eval、base64_decode、assert。再看访问日志里哪些IP在非工作时间频繁请求奇怪路径。把可疑IP和请求时间记下来。

接着找入口。根据日志线索，定位到具体文件。如果是CMS漏洞，去官方看补丁说明。如果是上传漏洞，检查上传目录里有没有可执行脚本。如果是弱口令，检查所有后台账户的密码强度。

清理或重装。文件层面被改，用正常备份覆盖被改文件。系统层面被入侵，重装系统并重新部署。重装后先改所有默认端口和密码，再上线。

最后补漏洞。升级CMS和插件到最新版。上传目录禁止执行脚本。后台登录加验证码和登录失败限制。数据库账户只给必要权限。这些动作做完再恢复对外访问。

风险提示：清理时只删了被篡改的首页文件，没删webshell，攻击者过几天会再次篡改。清理后要全站搜索可疑文件，重点查上传目录、缓存目录、图片目录。

日常怎么降低被黑概率

后台路径不要用默认的admin或login。密码用大小写字母、数字、符号组合，长度不低于12位。不同账户用不同密码。有条件就开双因素验证。

CMS和插件保持更新。不用了的插件和主题直接删除，不要只停用。上传目录设置不可执行脚本。数据库账户不用root，只给增删改查权限。

开启日志记录并定期备份。日志保留至少30天。备份要异地存放，不要放在同一台服务器上。备份文件也要设访问密码。

网站被黑怎么办，答案不是重装系统，而是先查日志找入口。入口没查清，重装只是重复上一次的流程。下一次被黑的时间，取决于你多久补上那个漏洞。

现在打开服务器，找到Web日志目录，搜索最近一周内非工作时间的POST请求。把可疑IP和请求路径记下来，这就是你查入侵来源的第一个动作。