网页被篡改怎么修复

凌晨两点，网页手机弹出一条监控告警：某企业官网首页标题被改成了“Hacked by Ghost”。被篡点开链接，改修页面挂着一面黑底绿字的网页涂鸦，底下还留了个Telegram账号。被篡这不是改修电影桥段，是网页我上个月帮一个客户处理过的真实事件。网页篡改这事儿，被篡说大不大，改修说小也不小——取决于你多久发现，网页以及有没有备份。被篡

先别急着骂服务器商。改修绝大多数网页篡改，网页根子不在机房，被篡而在网站本身的改修代码漏洞。最常见的是三种：一是CMS后台弱口令，比如admin/123456这种，攻击者用工具扫一遍就能登进去改模板；二是文件上传漏洞，传个伪装成图片的webshell，然后从内部改页面；三是数据库注入，直接UPDATE首页内容。我见过一个案例，某政府站点的后台密码居然是“password”，被篡改后挂了整整三天才有人发现。

发现被篡改后，第一件事不是删文件，而是断网隔离。把服务器从负载均衡里摘掉，或者直接改防火墙规则只允许你的IP访问。为什么？因为攻击者可能留了多个后门，你删一个他改回来两个。去年有个电商站，运维发现首页被改后立刻恢复了备份，结果第二天又被篡改，查日志才发现攻击者在另一个目录藏了定时脚本，每十分钟从远程拉一次恶意页面。

接下来要做的，是取证。别笑，这步很多小团队直接跳过。至少把被篡改的页面截图、保存原始HTML、导出Web日志（重点看POST请求和异常User-Agent）。如果服务器上有WAF或IDS，把告警记录也留一份。这些材料不一定报警用，但能帮你判断入侵路径。我习惯用grep -i "eval\|base64\|system" access.log扫一遍日志，经常能揪出可疑的请求参数。

恢复页面本身不难，难的是堵住漏洞。如果你有干净的备份，直接还原整站文件加数据库。但注意：备份的时间点必须早于被篡改的时间，而且最好用离线备份——有些攻击者会连备份一起加密。没有备份的话，就得手动清理。先找.htaccess、index.php、footer.php这些常被插入恶意代码的文件，对比官方原版或Git记录，把多出来的<iframe>、<script>删掉。数据库里查wp_options（如果是WordPress）或config表，看有没有被注入跳转代码。

清理完只是第一步。你得改所有密码：CMS后台、数据库、FTP、SSH。别用同一个密码。然后升级CMS和插件到最新版——很多篡改就是利用已知漏洞，比如老版ThinkPHP的RCE。如果服务器是Windows，检查C:\inetpub\wwwroot下有没有可疑的.aspx文件；Linux则看/tmp和/var/tmp有没有异常可执行文件。

最后说个容易被忽略的点：监控和告警。很多站点被篡改几周都没人知道，因为没人天天看首页。可以写个简单的脚本，每五分钟抓一次首页的MD5，变了就发邮件。或者用开源的filebeat监控关键目录的文件变动。我自己的博客就挂了个inotifywait，任何文件被修改都会记录到日志。成本几乎为零，但能让你从“事后救火”变成“事中拦截”。

网页篡改不是天灾，是人祸。漏洞不补，备份不存，密码不改，下次还会中招。别等搜索引擎给你标上“该网站可能被篡改”才着急——那时候流量已经掉了一半。