先保护现场并留证，再备份当前状态，然后排查入口、清理后门并修复漏洞。直接删掉异常文件往往解决不了问题，反而会丢失线索。
本文目录
先保护现场，再动手
发现网站被入侵后的第一反应，通常是「赶紧把可疑文件删掉」。这个动作看起来果断，实际破坏的正是最有价值的东西 —— 入侵留下的痕迹。
正确的顺序是这三步。
- 隔离：先把站点置于维护状态或限制访问，避免访客继续受影响，也避免攻击者继续操作。
- 留证：在改动任何文件之前，保存日志、异常文件与时间点等信息。
- 备份：把被入侵后的完整状态单独备份一份，与清理后的版本分开保存。
需要留存的证据
- 访问日志与错误日志：异常请求、异常来源与对应时间点。
- 异常文件本身：位置、修改时间与内容摘要，先复制再处理。
- 后台操作记录：新增的管理员账号、被改动的设置。
- 数据库异常项：被注入的内容、被添加的用户或配置。
不要做的三件事
这些动作会破坏后续排查
不要在没有留证的情况下，直接删除异常文件。
不要在未确认入口前重装系统或还原备份 —— 漏洞还在的话，很快会被再次利用。
不要在排查过程中用管理员账号在生产环境反复试错。
清理与加固的顺序
顺序错了，很可能清理完之后又被重新入侵一次。
- 确认入侵入口：漏洞插件、弱口令、过期程序、第三方组件，逐个排除。
- 清理后门：不只删明显的木马文件，还要检查计划任务、异常账号与被篡改的配置。
- 修复漏洞：升级到安全版本，修补代码问题，收紧目录与文件权限。
- 更换全部凭据：后台、数据库、服务器、第三方接口的密码与密钥。
- 恢复业务并持续观察：恢复访问后盯一段时间日志，确认没有二次入侵。
处理完之后要复查什么
- 是否还有未处理的可疑账号、计划任务与定时脚本。
- 备份是否已更新为清理后的干净版本。
- 漏洞源头是否已确认并修复，而不只是删掉了结果。
- 是否建立了后续的更新与检查节奏，避免重演。
被入侵后还原备份是不是最快？
如果是几天前的干净备份，还原确实能快速恢复业务，但前提是先确认漏洞源头已修复，否则还原后很快会被再次利用。
另外要评估还原会丢失多少数据，以及被篡改期间产生的数据是否需要留作证据。
搜索引擎提示网站有风险，怎么处理？
先完成清理与加固，再按搜索引擎站长平台的流程提交复核。
在问题真正解决之前就提交复核，通常会被再次驳回。
