凌晨三点，网站服务器监控突然报警。被黑包括登录日志里多出一条来自荷兰IP的客入SSH记录，用的侵后是已离职半年的运维账号。这不是处理演习——网站已经被拖库了。遇到这种事，网站第一反应不应该是被黑包括拔网线，而是客入先判断入侵者还在不在线。

很多人以为发现入侵后立刻关站最安全。侵后错了。处理关站等于把对方唯一的网站出口堵死，他可能还在你系统里，被黑包括会触发更激进的客入破坏行为。正确做法是侵后：先切断外网访问，但保留内网连接，处理让服务器继续运行，同时用另一台干净机器做取证。

隔离与取证

拿一台没被感染的跳板机，通过内网连上受害服务器。别用SSH直接登，用带录像功能的会话工具，比如script命令或跳板机的审计功能。所有操作留痕，后面报警或追责都用得上。

取证顺序有讲究。先抓内存镜像，再抓磁盘。内存里有正在运行的恶意进程、网络连接、加密密钥。磁盘上的日志可能被清理过。用dd或avml把内存dump到外部存储，别存本地——入侵者可能装了监控脚本。

查三个地方：/var/log/auth.log看登录记录，crontab -l看有没有恶意定时任务，netstat -antp看异常外连。我见过一个案例，黑客在/etc/rc.local里加了一行反弹shell，每次重启都自动连回C2服务器。这种藏得深，不翻启动脚本根本找不到。

清除与重建

确认入侵者已离线后，别想着手工删几个文件就完事。被提权过的系统，你永远不知道他改了多少东西。最稳妥的做法：备份数据，重装系统，从干净镜像恢复。数据恢复前要过一遍杀毒和人工审计，特别是Web目录和数据库。

有个细节容易忽略：检查.ssh/authorized_keys和/etc/passwd。黑客常留后门账号，比如把UID改成0的普通用户。还有LD_PRELOAD劫持——在/etc/ld.so.preload里指向恶意so文件，所有命令执行都被监控。这个不查，重装也白搭。

修复入口

入侵者怎么进来的？八成是这三个口子：弱密码、未打补丁的组件、上传漏洞。翻访问日志，找入侵时间点前后的异常请求。比如一个POST /upload.php后面跟着GET /shell.php，基本就是文件上传拿shell。

把Web框架、CMS、插件全升级到最新版。别用第三方破解版，里面可能自带后门。数据库账号别用root连Web，单独建个低权限用户，只给必要表的增删改查。SSH换非标端口没用，关掉密码登录，只用密钥，再配个fail2ban。

监控与复盘

恢复上线后，装个HIDS（主机入侵检测），比如Wazuh或Osquery。监控文件完整性、异常进程、可疑网络连接。别只依赖云厂商的安全组，那玩意儿防外不防内。

最后写个复盘报告，别写套话。就写：什么时间、哪个IP、利用了什么漏洞、拿了什么权限、留了什么后门、数据丢了多少。这份报告给老板看，也给下一个运维看。我见过太多团队出事时手忙脚乱，就是因为上次的复盘报告只写了“已修复”，没写具体怎么修的。

网站被入侵不是世界末日，但处理不当就是。快、准、狠——隔离要快，取证要准，清除要狠。别心存侥幸，别省步骤。你省下的那半小时，可能就是下一次被入侵的伏笔。