海口企业网站被攻击，头三小时该做什么

有海口一家做潭牛文昌鸡批发的老板打电话来，官网首页跳到博彩页，后台也登不进去。我的答案是：先别慌着删文件，头三小时的动作顺序错了，证据就没了。我给的是三步：断外链留证、查日志找入口、隔离之后重建。

被挂马后头十分钟先断外链

被挂马的站最怕两件事：自己手忙脚乱删了证据，以及搜索引擎在你不小心时把这页存进了缓存。处理顺序上，先在机房那边把站点临时下线或挂维护页，保住现场再动手。骑楼老街那家做西饼伴手礼的店主被改过一次首页，事后我们查缓存发现那页被存了两份，清理比修复还费劲。

第二十分钟到一小时，翻日志找入口

要看的就三样：网站访问日志里异常请求的URL，文件修改时间戳对不上的那个文件，还有后台登录记录。暴力破解的痕迹通常很明显，同一个IP在几分钟内试了几百个密码。找到那个被改的文件，入口基本就锁定了。

我们服务过的一家做杀虫剂产品的商家被撞库过一次，事后复盘发现是后台一个弱密码账号拖累了整站。补一句，这类风险在安全审计里属于最基础的一条，脚本一扫就能列出来。

第二个小时在隔离环境重建

被改过的机器不建议原地洗白。稳妥做法是把业务代码和数据库从干净环境里重新部署，只把数据库里的内容导回去，代码和数据分开走。后门有可能留在旧机器里，只有重建才干净。

恢复完成之后要补的三件事

一是所有后台账号换一遍密码，开二次验证。二是服务器面板和数据库端口不对外暴露，只留必要入口。三是开自动备份，每天一份存到不同地方。我们交付的项目含1年免费维护，期内这类应急响应算在里面，客户满意度98.2%靠的就是出事这天有人在。

网站被攻击后的常见疑问

被改过的数据能救回来吗？

有备份就能救。没备份的话，删除的文件有时能恢复到回收站，先别急着重装系统。

重建网站要多久？

代码干净的话两天能恢复，图片素材要另算。涉及重新设计的另议，改版升级的项目周期长。

怎么防止下次再来？

三件事：补丁打上、弱口令清掉、备份自动化。这三样做完，成本压得住。

总结

海口企业网站被攻击，头三小时的顺序是断外链、查日志、重建，别急着删。把服务器面板和最近的备份情况发到海口信服无限，我们先帮你判断能不能回滚，再定恢复方案。