网站被挂马/降权怎么办？企业官网安全应急处理手册

网站安全不能等到出事再处理，而应作为一套必须提前演练好的应急预案。

一、先控制影响：最初 4 小时做对三件事

发现异常，第一反应不该是“赶紧删代码”，而是隔离和取证：

• 完整备份现场：整站文件、数据库、访问日志先打包留存，这是判断入侵路径和责任归属的唯一依据；
• 只关闭受影响部分，不要整站下线：优先关闭被注入的页面或目录，能保留的流量尽量保留，因为整站宕机对 SEO 的伤害常常比挂马本身更大；
• 改密撤权：FTP/SFTP、数据库、后台管理员、服务器 SSH 全部改密，清掉陌生的管理员账号和计划任务。

二、再定位：八成入侵来自三个入口

复盘过的案例里，入侵入口高度集中：过期的 CMS 或插件漏洞、使用弱口令的数据库与后台、允许上传并执行脚本的上传目录。排查顺序建议是：先看 Web 日志里的异常 POST 请求和可疑 UA，再按文件修改时间找出被写入的 webshell，最后核对模板文件尾部有没有被追加加密脚本。找到入口比删掉木马更重要——只删除木马文件却不修补漏洞，通常一周内就会再次中招。

三、后恢复：清马、加固、SEO 复位要一起做

• 清马：用官方原始安装包覆盖核心文件，不要逐行“修复”被篡改的代码；
• 加固：CMS 与插件升级到最新版，上传目录去掉执行权限，启用 WAF 与后台登录验证码，关掉不必要的端口；
• SEO 复位：在百度搜索资源平台提交死链、发起抓取诊断、更新 sitemap，对被替换的标题描述重新提交。若站点被标记为“可能被篡改”，需要等待重新抓取校验，一般 2-4 周排名才会逐步回升，期间保持稳定更新能明显缩短恢复周期。

四、长期防护：把安全纳入日常运维

安全的成本规律与直觉相反：事前多花 1 小时加固，事后大约能省下 10 小时抢修。建议把这些检查写进运维日历：每周查一次插件版本与备份完整性，每月清理一次后台账号，每季度做一次漏洞扫描和恢复演练。没有专职运维的企业，把这部分托管出去，通常比养一个半职网管更划算。