公司网站被篡改怎么办

凌晨三点，公司改办手机响了。网站运维群里有人甩了张截图——公司官网首页挂着一排博彩链接，被篡标题被改成“澳门线上娱乐城”。公司改办我打开浏览器，网站页面确实变了，被篡连favicon都换成了骰子图标。公司改办服务器还在线，网站SSH能连，被篡但网站根目录的公司改办index.php已经被替换。这就是网站典型的网站篡改，比DDoS更恶心，被篡因为用户看到的公司改办不是打不开，而是网站你的域名在替别人赚钱。

别急着格式化重装。被篡先做三件事：拔网线（或者防火墙封掉80/443外网访问）、备份当前被篡改的页面和日志、通知搜索引擎。百度站长平台和Google Search Console都有“网站被黑”的申诉入口，你不提交，等爬虫下次抓取，快照里全是赌博关键词，恢复排名得花几周。我见过一家电商，被篡改三天没管，百度收录了四万多条黄色标题，后来花钱做快照投诉才清掉。

查入口。八成是CMS漏洞。WordPress插件没升级、织梦后台弱密码、或者上传目录给了执行权限。翻access.log，找POST请求里带eval、base64_decode的，或者时间点对得上的异常IP。有一次客户是ThinkPHP老版本，攻击者直接写了个webshell叫“logo.png”，里面就一行。这种文件用find命令搜“eval”或“assert”能捞出来。别只删首页，整个目录树都要扫。

改密码这件事得做全。数据库密码、后台管理员密码、SSH密钥、FTP账号，一个都别漏。攻击者通常会留后门，比如在wp-config.php里插一行include，或者往.htaccess加RewriteRule把特定UA跳转到博彩页。清理完文件后，用diff对比原始版本和当前版本，或者直接下载同版本CMS覆盖核心文件，只保留config和uploads。

临时关站比硬撑好。挂个维护页，返回503状态码，告诉搜索引擎这是临时故障。别用302跳转，那会传递权重。等清理干净、漏洞补上、日志里没有可疑请求了，再恢复。恢复后头两周每天手动查一次快照和收录，用site:命令看有没有异常标题。监控工具设个告警，比如首页MD5变化就发短信——我给自己服务器就配了这么个脚本，每五分钟curl一次首页，哈希不对就打电话。

说个真实案例。去年有个做机械出口的客户，网站被篡改成日语赌博页。查日志发现攻击者从泰国IP登录了后台，密码是“admin123”。更离谱的是，他们技术员图省事，后台目录名就叫/admin，连验证码都没开。修好之后我让他把后台路径改成随机字符串，加了两步验证，限制登录IP。三个月后又有扫描器来试，直接403了。

最后说点实在的。网站被篡改不是丢人的事，但瞒着不报、拖到数据泄露才处理，那就是灾难。备份要离线，别放同一台服务器。CMS和插件保持更新，但别追最新版，等稳定版出来再升。如果自己不懂代码，花几百块买个WAF云服务，比事后请人清理便宜得多。记住：攻击者找的是软柿子，你稍微硬一点，他就换目标了。