网站被黑客入侵后怎么办

发现网站被入侵，第一反应往往是关服务器、删文件、重装系统。先停一下。这样做很可能把攻击者留下的进程、内存连接、登录IP和临时文件一起清掉，后面想查入口就难了。更稳妥的做法是先隔离：把服务器从公网摘下来，或者用防火墙只放行你的管理IP，同时做快照、导出日志。云服务器先别急着释放，保留磁盘和内存镜像。能取证就取证，不能取证也要把/var/log、Web日志、数据库日志、计划任务、启动项、SSH的authorized_keys、网站目录最近修改文件打包留档。

接下来判断怎么进来的。Verizon《2024数据泄露调查报告》分析了三万多起安全事件，其中初始访问靠盗用凭证的约占38%，靠漏洞利用的约20%。这意味着弱密码、撞库、泄露的API密钥、没及时打的补丁，都是常见入口。去看登录日志里有没有陌生IP，尤其是凌晨、境外、连续失败后成功的记录；看CMS、插件、框架版本有没有已知漏洞；看上传目录有没有php、jsp、asp文件；看数据库里有没有多出来的管理员；看计划任务和系统服务里有没有奇怪命令。很多后门不会只留一个，Webshell、内存马、隐藏账号、定时外连都可能同时存在。

确认范围后，改密码要一次改彻底。网站后台、数据库、SSH、云平台、CDN、DNS、邮箱、支付接口、第三方登录、API密钥，全都换。只改后台密码等于没改。能开多因素认证的都开上，微软多年统计说多因素认证能挡住绝大多数自动撞库攻击。把未知的管理员、数据库用户、SSH公钥、计划任务、启动项删掉。用专业工具扫Webshell和恶意文件，但别只信扫描结果，手工比对最近修改时间和文件哈希更可靠。

漏洞必须补上。CMS、插件、主题、框架、中间件、操作系统，能升级就升级，不能升级就下线或加访问限制。后台登录限制IP，关闭不用的端口和服务，文件权限收紧，上传目录禁止执行脚本。装WAF只能算辅助，不能替代补丁和权限管理。如果用的是共享主机，马上联系主机商，让他们从机房侧一起查。

数据恢复要从入侵发生前的干净备份来。恢复前先确认备份没有被污染，恢复后再扫一遍。不要从已经被黑的服务器上直接打包恢复，那等于把后门带回来。如果没有干净备份，先清理后门、修补漏洞，再考虑重建系统，最后从数据库导出必要数据并逐条检查。

如果用户数据可能泄露，别瞒着。中国《网络安全法》和《个人信息保护法》都要求发生泄露后立即补救，并通知用户和有关主管部门。欧盟GDPR要求72小时内报告。通知里说清楚什么时候发现、可能影响哪些数据、你已经做了什么、用户该注意什么，比如改密码、留意钓鱼邮件、检查账单。隐瞒会让后面更麻烦。

恢复上线后别就放松。日志至少保留六个月，这是《网络安全法》的要求。持续监控异常登录、文件变更、流量突增和搜索引擎告警。做一次复盘，把入侵时间线、入口、影响范围、处置动作写下来。平时把补丁、备份、最小权限、多因素认证、WAF和告警当成常规动作。真搞不定，找专业应急响应团队，别信网上“黑客追回”“删库跑路”的广告，那多半是二次诈骗。