凌晨三点，网站监控警报把我从床上拽起来。被篡客户网站首页变成了黑底绿字的改修黑客宣言，还挂着一面我认不出国籍的网站旗帜。那感觉就像你租出去的被篡房子被人换了锁，墙上喷满了涂鸦——网站被篡改，改修本质上就是网站你的数字房产被人破门而入了。

第一步别急着删文件。被篡多数人第一反应是改修赶紧把黑客页面替换掉，这恰恰是网站最蠢的操作。攻击者往往留了后门，被篡你前脚改回来，改修他后脚就能再次入侵，网站甚至直接把你数据库拖走。被篡正确做法是改修立即备份被篡改的页面和服务器日志，这些是追踪攻击路径的唯一线索。我见过太多人急着恢复业务，结果把证据全毁了，最后只能被动挨打。

接着要断网隔离。别心疼业务中断，先拔掉服务器的外网连接，或者至少把站点从负载均衡里摘出去。这一步是为了防止攻击者继续利用漏洞上传webshell——那玩意儿就像给黑客留了把备用钥匙，随时能回来继续搞破坏。曾经有个客户为了省事，只改了首页文件没断网，结果黑客用留的后门把整站源码都换成了赌博页面，最后花了三天才从备份里恢复。

然后才是排查漏洞。检查文件修改时间，重点看最近一两天被改动过的脚本文件。用grep命令搜一下eval、base64_decode这些危险函数，多半能发现藏起来的恶意代码。同时翻一下访问日志，找那些POST请求特别频繁的IP，或者带奇怪参数的URL。说实话，大部分篡改都来自老漏洞——比如用了五年没升级的CMS插件，或者后台密码还停留在admin123。

清理干净后别急着上线。先修改所有管理密码，包括FTP、数据库、后台账号，能开双重验证就开。同时升级系统补丁和CMS版本，删掉不用的插件主题。我习惯在恢复前用在线扫描工具再跑一遍，确认没有遗漏的恶意文件。这一步多花半小时，能避免你下个月再经历一次凌晨惊醒。

最后才是恢复上线。从干净的备份里还原文件，确认权限设置正确——目录755、文件644，别图省事全设成777。上线后开启Web应用防火墙，至少能挡住大部分常见攻击。记得把这次事件写进维护日志，注明漏洞原因和修复方法，下回再遇到能省不少力气。

说实话，网站被篡改这事儿，七成是疏于维护，三成才是黑客技术高超。你见过哪个正规军会去撬没上锁的门？定期备份、及时更新、强密码、最小权限，做到这四样，百分之九十的篡改都能避免。剩下的百分之十，就靠你冷静处理了——记住，先留证据，再断网，后清理，最后才是恢复。顺序反了，你就是在帮黑客擦屁股。