网站被人改了。篡改首页挂上博彩链接，网站或者跳转到乱七八糟的修复页面。这种事我碰过好几次，篡改客户打电话来的网站时候声音都在抖。别慌，修复能修。篡改

先搞清楚一件事：黑客改的网站是文件，不是修复服务器硬件。只要备份还在，篡改或者能进后台，网站基本都能救回来。修复最怕的篡改是那种连备份都被删干净的，那就得从头扒代码。网站

第一步：断网，修复别让伤口继续流血

发现被篡改后第一反应应该是把网站下线。不是关服务器，是把域名解析停了，或者把web服务停掉。有人觉得“我先看看改了什么”，结果黑客留的后门还在往外发数据。我见过一个案例，站长发现首页被改后没管，第二天数据库里三万条用户信息全被拖走了。

停掉web服务，但别关SSH。你得留个入口进去修。

第二步：找入口，黑客从哪进来的

网站被篡改，99%是这三个口子：CMS漏洞、弱密码、插件后门。WordPress站点最多，因为用的人多，攻击工具也最成熟。

查access.log。看最近有没有异常POST请求，特别是那种路径很长的，比如 /wp-content/plugins/xxx/upload.php 后面跟一串参数。或者看有没有陌生IP频繁访问admin目录。

另一个笨办法但有效：用 find 命令按时间排序找最近修改的文件。

find /var/www/html -type f -mtime -7 -name "*.php"

被改的文件通常集中在几个地方：首页index.php、header.php、footer.php，还有.htaccess。黑客喜欢在.htaccess里加跳转规则，你从浏览器看不出来，但搜索引擎爬过去就被劫持了。

第三步：清理，别只删表面

把被篡改的文件恢复成原版。有备份就覆盖，没备份就从官方源重新下载同版本文件替换。但注意——只替换被改的文件没用，后门可能藏在另一个你没注意到的文件里。

我习惯用 grep 搜一遍常见后门特征：

grep -r "eval(" /var/www/html --include="*.php" grep -r "base64_decode" /var/www/html --include="*.php" grep -r "shell_exec" /var/www/html --include="*.php"

正常的WordPress核心文件里不会有这些函数。搜出来一个删一个。但别手抖删了正经插件里的合法调用，先确认文件路径。

数据库也要查。有些篡改是直接改数据库里的选项值，比如WordPress的 siteurl 被改成黑客的域名。进phpMyAdmin看一眼wp_options表，前几条有没有陌生URL。

第四步：堵漏，不改密码等于白干

清理完文件，马上改所有密码：数据库密码、后台管理员密码、FTP密码、SSH密码。别用同一个密码。我见过有人数据库密码和后台密码一样，改完文件没改密码，第二天又被挂马。

CMS和插件全部升级到最新版。老版本漏洞是公开的，脚本小子拿工具一扫就能进来。WordPress后台能自动更新就开自动更新，不能就手动点。

装个WAF。Cloudflare免费版就行，或者服务器上装ModSecurity。能挡掉大部分自动化扫描和注入尝试。

第五步：验证，别自己骗自己

用 curl -I 检查首页返回头，看有没有异常跳转。用在线工具比如Sucuri SiteCheck扫一遍。Google Search Console里提交重新审核，看有没有被标记为恶意软件。

最后一步，盯着日志看三天。如果还有陌生IP尝试访问之前被利用的那个漏洞路径，说明有人还在试。别关日志。

修网站这事，快比全重要。先恢复访问，再慢慢查深层原因。但密码和升级这两步不能省，省了就是给黑客留门。