凌晨2点47分，网页监控告警弹出来的篡改时候，我正端着咖啡准备收工。应急页面显示公司官网首页被替换成了一张纯黑底图，报告上面用红色大字写着“你的网页数据库已经在我手里”。第一反应是篡改误报，刷新了三次，应急结果都一样。报告

这不是网页什么高深攻击。事后翻日志发现，篡改对方是应急从后台登录入口进来的，用的报告是三个月前离职员工的老账号——密码一直没清，还是网页个弱口令。从撞库成功到改掉首页文件，篡改前后只花了四分钟。应急四分钟，足够让一个SEO权重攒了五年的站点在搜索引擎里被标成“危险网站”。

应急流程其实早就写在制度文档里，但真正执行起来完全是另一回事。我打电话给运维老张，他第一句是“你确定不是自己人改的？”第二句是“备份在哪儿来着？”——备份服务器因为上个月机房调整，IP变了，没人更新监控白名单，所以告警系统形同虚设。

真正把损失控制住的反而是个土办法。我们临时把整个Web目录的写入权限改成只读，再让CDN节点强制刷新缓存，先把黑页从用户端撤下来。这招治标不治本，但至少让访客看不到“黑客宣言”。随后花了两小时从快照里恢复出前一晚的干净页面，重新上线。

整个过程里，最讽刺的是攻击者留下的痕迹反而帮了忙。他在服务器上留了个txt文件，里面写着“你们漏洞太多了，懒得全报”。语气挺嚣张，但确实点醒了我们——这台服务器跑着PHP 5.6，系统补丁停在去年三月，连WAF都没开。

事后复盘，我列了三件必须做的事：第一，所有离职员工账号当天禁用，不能拖到第二天。第二，备份和监控要绑定业务连续性测试，不能只在纸上写“每周验证”。第三，把弱口令扫描纳入每周自动化任务，别指望人自觉。

这次事件没造成数据泄露，但暴露的问题是真实的——安全防线往往不是被高级攻击击穿的，而是被日常的懒散磨破的。那个离职员工的账号，就像一把没拔下来的备用钥匙，挂在门上三年没人管。黑客要做的只是伸手拧一下。

现在我把那次黑页截图打印出来贴在工位上，旁边写着一行字：“四分钟就能毁掉五年积累。”每次有人觉得改密码麻烦，我就指指那张纸。