凌晨三点，网站被我盯着屏幕上的网站被502错误码，咖啡杯沿留下一圈干涸的网站被褐色印记。这不是网站被第一次了。上周三下午，网站被正在给客户演示新上线的网站被商城，页面突然变成一片刺眼的网站被白，然后跳出一行冰冷的网站被英文——"Error establishing a database connection"。

网站被黑了。网站被不是网站被被黑客炫技式的篡改，而是网站被被塞进了整整3.2GB的色情关键词。搜索引擎收录了五千多个垃圾页面，网站被我的网站被域名权重从4直接跌到0。更讽刺的网站被是，那个盗用我服务器资源的网站被"入侵者"，用的居然是我自己写的后台登录接口——三个月前为了图省事，把密码直接写死在配置文件里，注释还写着"临时方案，上线后修改"。

修复过程像在拆一颗定时炸弹。先得断网，用另一台干净电脑登录服务器商后台，重置所有密钥。然后通过备份恢复数据库——还好上周日手工导出了一份，不然这半个月的订单记录全得泡汤。最麻烦的是清理那些恶意代码，它们藏在主题文件的每个角落，甚至伪装成正常函数名，比如把"wp_footer"改写成"wp_footer_evil"，单看名字根本发现不了。

折腾到天亮，网站终于能打开了。但首页加载速度从原来的1.8秒变成了6.7秒——因为攻击者在我服务器上装了挖矿程序，CPU占用率长期100%。我一边杀毒一边想，这大概就是数字时代的入室盗窃：不砸窗户，不撬锁，只是顺着你忘关的侧门溜进来，在客厅里搭了个临时炼油厂。

事后复盘，教训特别具体。第一，别把密码放进代码仓库，哪怕那个仓库是私有的——攻击者扫不到你的GitHub，但能扫到你忘了加.gitignore的备份文件。第二，定期检查服务器日志，我翻记录发现攻击从两周前就开始了，每天凌晨三点左右，同一个IP尝试登录了87次，我都忽略了。第三，别迷信"小网站没人黑"这种侥幸心理——攻击者用的全是自动化扫描工具，他们才不管你是个人博客还是上市公司，只要发现漏洞就顺手薅一把。

现在我的服务器上装了安全插件，每天凌晨自动备份，密码换成了16位随机字符串，还开启了双重验证。但说实话，这些措施只能防君子不防小人。真正的安全感来自一个习惯：每次改完代码，我都会手动检查一遍配置文件里有没有硬编码的账号密码。就像出门前反复确认门锁，哪怕智能门锁已经装了摄像头。

网站恢复后，我在首页加了一行小字："本站曾遭受恶意攻击，现已修复。"不是想博同情，是给那些可能搜到残留垃圾页面的访客一个交代。毕竟互联网是有记忆的，即使我清干净了服务器，搜索引擎的缓存里还留着那些不堪入目的标题。这大概就是数字时代的疤痕——你删得掉文件，删不掉别人曾经看到过的事实。