網(wǎng)站上線后遭遇黑客攻擊完整處置流程
核心原則：先止損、再取證、后恢復(fù)，最后復(fù)盤加固，不要一邊被攻擊一邊盲目改代碼，避免擴大損失、銷毀證據(jù)。
一、緊急止損（第一時間，幾分鐘內(nèi)）
- 評估影響，選擇下線 / 限流
- 如果網(wǎng)站已經(jīng)被篡改（掛黑頁、跳轉(zhuǎn)賭博、病毒）、數(shù)據(jù)庫泄露、服務(wù)器異?？D、大量惡意請求：立刻切斷訪問?？梢躁P(guān)閉站點、防火墻拉黑攻擊 IP、DNS 解析臨時切走，優(yōu)先保護服務(wù)器和數(shù)據(jù)。
- 如果只是 CC / 流量攻擊，業(yè)務(wù)還能勉強運行：開啟高防、CDN 防護，限制單 IP 訪問頻率，不一定要直接下線。
- ?? 不要直接重啟服務(wù)器！部分攻擊日志、內(nèi)存木馬會在重啟后丟失。
- 隔離服務(wù)器將受感染服務(wù)器從內(nèi)網(wǎng)剝離，防止橫向滲透，黑客拿到一臺機器后，很可能繼續(xù)攻擊同服務(wù)器 / 內(nèi)網(wǎng)其他業(yè)務(wù)。
- 修改所有賬號密碼服務(wù)器 SSH、后臺管理員、數(shù)據(jù)庫、FTP、云控制臺、域名賬號全部重置，使用強密碼；檢查是否新增陌生管理員賬號。
二、保留證據(jù)（非常關(guān)鍵，用于溯源、報案）
操作前先備份日志，不要直接清理文件！
- 保存：Web 訪問日志、Nginx/Apache 日志、系統(tǒng)日志、數(shù)據(jù)庫日志、防火墻 / CDN 攻擊日志。
- 截圖：網(wǎng)站篡改頁面、異常進程、陌生文件、登錄異常記錄。
- 記錄時間線：發(fā)現(xiàn)攻擊時間、現(xiàn)象、做過哪些操作。
如果涉及用戶信息泄露，后續(xù)需要按《網(wǎng)絡(luò)安全法》履行上報、告知用戶義務(wù)；損失較大可以向網(wǎng)安部門報案。
三、排查攻擊入口（找到黑客是怎么進來的）
常見攻擊入口：
- 程序漏洞：CMS 漏洞、框架漏洞、代碼 SQL 注入、XSS、文件上傳漏洞、后臺弱口令。
- 服務(wù)器側(cè)：SSH 弱密碼、開放多余端口、老舊組件漏洞（nginx、php、redis 等）。
- 第三方組件：插件、主題、SDK 存在漏洞。
- 業(yè)務(wù)層：驗證碼缺失、越權(quán)訪問。
排查重點：
- 查看最近新增文件，尤其是上傳目錄里的 php/asp 一句話木馬；
- 查看異常進程、定時任務(wù)（黑客經(jīng)常加定時任務(wù)維持后門）；
- 檢查數(shù)據(jù)庫是否新增管理員賬號；
- 看日志：尋找異常 POST 請求、上傳請求、異常登錄 IP。
? 重要提醒：不要只刪木馬文件！ 就算刪掉 webshell，如果漏洞還在，黑客幾分鐘就能再次上傳進來。
四、清理后門 & 恢復(fù)業(yè)務(wù)
兩種恢復(fù)方案，優(yōu)先選方案 1：
- 干凈備份恢復(fù)（推薦）使用攻擊發(fā)生前的純凈備份還原網(wǎng)站代碼 + 數(shù)據(jù)庫。還原完成后，立刻打上漏洞補丁，再上線。
不要直接在被入侵的服務(wù)器上 “清理木馬繼續(xù)用”，很可能還有隱藏后門。
- 手工清理（僅無備份時）刪除 webshell、陌生管理員、惡意定時任務(wù)；查殺木馬；全盤惡意文件掃描。必須復(fù)查確認沒有殘留后門，風(fēng)險更高。
恢復(fù)上線前必須做：
- 修復(fù)找到的漏洞；
- 更新所有程序、插件、PHP / 中間件版本；
- 刪除無用的文件、測試頁面、多余賬號；
- 關(guān)閉不必要端口，最小權(quán)限原則。
五、持續(xù)監(jiān)控 + 安全加固（防止再次被攻擊）
1. 服務(wù)器 & 網(wǎng)站加固
- 關(guān)閉不必要端口，使用防火墻 / 安全組，只開放業(yè)務(wù)必需端口；SSH 禁止 root 登錄，限制登錄 IP；
- 網(wǎng)站目錄權(quán)限最小化：上傳目錄禁止執(zhí)行腳本；
- 安裝 Web 防護：WAF、CDN 高防，攔截 SQL 注入、上傳、CC 攻擊；
- 定期備份：代碼 + 數(shù)據(jù)庫，異地備份，備份文件也要做安全保護。
2. 安全監(jiān)測
- 開啟日志審計，定期看登錄日志；
- 監(jiān)控異常訪問、異常文件新增；
- 定期漏洞掃描。
六、合規(guī)事項（重點）
- 如果發(fā)生個人信息泄露：根據(jù)《網(wǎng)絡(luò)安全法》《個人信息保護法》，需要評估泄露范圍，必要時上報網(wǎng)信、公安部門，通知受影響用戶。
- 網(wǎng)站如果是備案域名，網(wǎng)站被掛黑頁、惡意跳轉(zhuǎn)，可能會被運營商 / 管局關(guān)停，要及時處理。
- 遭受網(wǎng)絡(luò)攻擊，可攜帶證據(jù)到當?shù)毓簿志W(wǎng)安大隊報案。
快速區(qū)分攻擊類型（方便判斷）
- CC / 流量攻擊：網(wǎng)站打不開、服務(wù)器 CPU / 帶寬跑滿，頁面沒有被篡改；
- Webshell 上傳：網(wǎng)站被掛黑頁、新增文件，黑客可上傳文件控制網(wǎng)站；
- SQL 注入：數(shù)據(jù)庫被盜、管理員賬號被篡改；
- 系統(tǒng)提權(quán)：黑客拿到服務(wù)器高權(quán)限，風(fēng)險高。
禁止做的坑
- 發(fā)現(xiàn)攻擊直接重啟服務(wù)器，丟失日志；
- 只刪木馬不補漏洞，反復(fù)被入侵；
- 繼續(xù)使用弱口令；
- 被入侵服務(wù)器不重裝 / 不純凈恢復(fù)，心存僥幸；
- 日志不備份，后續(xù)無法溯源和報案。
