网站被挂码，网站网先别急着删文件。挂码去年有个做外贸的处置客户，发现首页被植入博彩链接，情况技术员第一反应是网站网直接删掉恶意代码，结果第二天网站又被挂上，挂码而且这次连数据库都被篡改了。处置网警介入后第一句话就问：“原始日志和恶意文件备份了吗？情况”没有备份，取证难度翻倍，网站网处置周期从三天拖到两周。挂码所以核心就一条：发现挂码，处置先隔离、情况再备份、网站网后清理，挂码顺序错了后面全是处置坑。

挂码通常分两种。一种是显性挂码，打开网站就能看到异常弹窗、跳转或暗链，用户投诉或自己巡查时发现。另一种是隐性挂码，代码藏在正常文件里，比如在js文件中插入一段加密的eval，或者利用.htaccess做条件跳转——只有从百度搜索进来的流量才会跳转到赌博站，直接访问反而正常。我见过一个案例，网站管理员自查了半个月没找到问题，最后用diff对比发现是某个“已废弃”的模板文件里多了一行base64编码。

网警处置的第一步是固定证据。不是让你自己截图就完事，需要用取证工具对服务器镜像做哈希校验，记录挂码文件的创建时间、修改时间、文件权限。有个细节容易被忽略：检查网站根目录下的隐藏文件，比如.user.ini或者.web.config，攻击者常把后门写在这里。某次协助排查时，在网站根目录发现一个名为“index.php.bak”的文件，打开一看是webshell，而真正的index.php反而被改成了跳转页。

写处置情况报告时，不要写成“发现问题-解决问题”的流水账。网警要看的是时间线、攻击路径、影响范围和处置措施。时间线精确到分钟，比如“14:23 监控告警首页响应时间异常，14:35 确认挂码，14:50 完成服务器隔离”。攻击路径要写清楚入口点，是弱口令爆破、CMS漏洞还是第三方插件后门。影响范围包括被挂码页面数量、是否涉及用户数据泄露、搜索引擎收录情况。处置措施分临时和长期：临时措施如关闭写入权限、更换后台密码、提交死链；长期措施如升级CMS、部署WAF、设置文件完整性监控。

实际写的时候有个偷懒但有效的办法：把网警当成一个不懂技术的办案人员。别写“通过分析nginx日志发现异常UA”，改成“从访问日志里查到攻击者用的浏览器标识是sqlmap，说明是自动化工具扫描”。别写“已清除webshell”，改成“删除了两个后门文件，路径分别是/upload/temp.php和/include/cache.php，文件内容已备份并提交”。具体到文件名、路径、IP、时间戳，这些才是网警真正需要的东西。

最后说个容易踩的坑。有些公司为了尽快恢复访问，直接回滚到几天前的备份，然后报告写“已恢复至正常状态”。网警会追问：被挂码期间的数据丢失了吗？攻击者有没有留其他后门？回滚能解决表面问题，但攻击入口没堵住，过几天还会被挂。我见过一个站点回滚三次被挂三次，最后发现是Redis未授权访问，攻击者写了计划任务定时下载恶意脚本。所以处置情况里必须有一项：排查并修复入侵入口，否则这份报告等于没写。

写完之后自己读一遍。如果通篇都是“加强安全意识”“完善管理制度”这种话，删掉重写。网警要的是可追溯、可验证、可复现的技术事实，不是检讨书。