凌晨三点，网站手机弹出一封监控告警邮件。被恶我爬起来打开电脑，意篡客户的改办企业官网首页被换成了一张黑底红字的图片，上面写着“Hacked by ...”，网站下面还挂了个倒计时。被恶这不是意篡电影桥段，是改办我上个月真实处理过的一起事故。网站被篡改，网站往往不是被恶“万一”，而是意篡“什么时候”的问题。

先说最要紧的改办事：发现页面被改，第一反应别是网站关站。立刻用另一台设备或手机流量访问，被恶确认是意篡不是只有你的网络被劫持。有时候只是本地DNS污染，服务器本身没事。如果多台设备、多个网络访问都异常，那就坐实了篡改。这时候要做的第一件事是保留证据——截图、录屏、保存被篡改页面的HTML源码。别急着恢复，先搞清楚攻击者怎么进来的。

我见过太多人直接覆盖文件，结果把入侵痕迹全抹了。正确的做法是登录服务器，检查最近修改过的文件。Linux下用find /var/www -mtime -1 -type f能列出24小时内动过的文件。重点看index.php、header.php、.htaccess这些入口文件。攻击者通常会在正常代码里插入一行eval($_POST['cmd'])之类的东西，或者直接替换整个文件。有一次我帮一个客户排查，发现对方在footer.php末尾加了一段base64编码的跳转脚本，肉眼根本看不出来，得用diff对比备份才能发现。

找到被改的文件只是第一步。更关键的是堵住入口。八成以上的篡改来自这三个途径：弱口令、过时插件、上传漏洞。WordPress站点尤其严重，很多人装完就不管了，插件三年不更新。攻击者扫到wp-content/plugins下某个老版本插件的已知漏洞，直接上传webshell，然后想改什么改什么。我自己的习惯是，所有生产环境服务器必须开文件完整性监控，比如AIDE或者Tripwire，一旦/var/www下文件哈希变了，立刻告警。别等搜索引擎给你挂“该网站可能被篡改”的提示才反应过来。

恢复的时候也有讲究。别从服务器上的备份恢复——如果备份文件也在同一台机器上，很可能已经被污染了。用本地或异地备份，而且恢复前先确认备份本身干净。恢复完立刻改所有密码：SSH、数据库、后台、FTP，一个都别漏。同时检查crontab和/etc/passwd，有些攻击者会留定时任务或者隐藏账户，等你恢复完再重新感染。

说个真实案例。去年有个做外贸的朋友，网站被改成博彩页面。他找服务商恢复了三次，每次不到两天又被改。后来我帮他看，发现攻击者根本没用什么高级漏洞，就是通过一个没改默认密码的phpMyAdmin进去了，在数据库里插了触发脚本。每次他恢复网站文件，数据库里的恶意代码又会重新生成后门。所以排查要彻底，文件、数据库、计划任务、甚至.ssh/authorized_keys都得看。

最后说点实在的。网站被篡改不是世界末日，但处理顺序错了会很麻烦。先隔离（断网或关站），再取证，然后排查入口，彻底清理，最后恢复。别一上来就重装系统，那样你永远不知道对方怎么进来的，下次还会中招。平时把自动备份做好，插件及时更新，后台别用admin这种用户名，能挡掉九成以上的脚本小子。真正盯着你来的高手，你防不住，但那种人也不会来改你首页——人家要的是数据，不是涂鸦。