凌晨三点，网页我盯着监控大屏上那个被换成猫猫图片的篡改银行首页，后背发凉。修复篡改者没要钱，网页没留勒索信，篡改纯粹是修复炫技——把导航栏全部指向了成人网站。那晚的网页值班日志上，我写下了职业生涯里最刺眼的篡改一句话：“客户官网被挂马，损失预估六位数。修复”

网页被篡改这事，网页比你想的篡改普遍得多。我处理过的修复案例里，有学校官网被塞进博彩广告的网页，有政府网站被改成“幽默笑话合集”的篡改，甚至有个做外贸的修复小老板，整站被替换成俄语诈骗页面，直到海外客户发邮件问“你们改卖假发票了？”他才发现。别慌，修复有套路，但第一步不是打开代码编辑器。

先断网，再拔电源。别急着删文件，也别急着恢复备份。篡改攻击往往留了后门，你前脚清掉首页的恶意代码，后脚攻击者又通过Webshell把文件传回来了。正确做法是：立刻在防火墙和主机层面封禁可疑IP，同时用快照功能冻结当前状态——这相当于给犯罪现场拉上警戒线。我见过太多人一上来就“修复”，结果攻击者像打地鼠一样，你修一处他改两处。

接下来才是技术活。登录服务器，别用FTP，用SSH。先查三个地方：文件修改时间（按时间倒序排列，找最近一小时被改动的文件）、异常进程（比如莫名其妙跑着的python进程）、计划任务（crontab -l，很多篡改脚本靠定时任务反复执行）。我遇到过一个案例，攻击者把恶意代码藏在图片的EXIF信息里，然后用一个看似正常的图片加载脚本去解析执行——这种隐蔽性极强的攻击，光靠杀毒软件根本扫不出来。

找到根源后，别急着恢复。把被篡改的文件下载到本地，用diff工具和原始备份对比，逐行确认哪些是恶意代码，哪些是原站内容被混淆了。有些篡改者会把正常文件加密，然后留一个解密脚本在服务器上——你要是直接覆盖，反而触发他的解密逻辑。这时候要么用干净的备份覆盖，要么手工清理恶意代码。我建议前者，除非你确定自己写的代码足够健壮，能扛住二次攻击。

清理完代码，改密码是必须的。别只改FTP密码，数据库密码、服务器root密码、甚至云服务商控制台的登录密码，全换一遍。攻击者可能已经在你服务器上安了键盘记录器，你只改一个密码，他转头就拿到新的。还有，检查一下有没有新增的SSH公钥——攻击者常把自己的公钥加到root的authorized_keys文件里，这样即使你改了密码，他还能用密钥登录。

最后，也是最容易被忽略的：排查业务逻辑漏洞。大部分网页篡改不是靠暴力破解，而是利用网站自身的漏洞。比如上传功能没限制文件类型，攻击者传了个PHP文件上去；或者SQL注入直接修改了数据库里的页面内容。你得回顾一下最近有没有更新过什么插件、开放过什么端口。我处理过最离谱的一个案例，是某公司为了让员工方便远程办公，在防火墙开了3389端口，结果被扫描到后直接RDP爆破成功，然后攻击者通过远程桌面把网页全改了。

修复完成后，别急着上线。用在线扫描工具（比如Sucuri SiteCheck）检测一下，再用浏览器无痕模式访问几个关键页面，确认没有异常跳转。等一切正常了，再重新接入CDN和负载均衡。记住，网页篡改修复不是终点，而是安全建设的起点——把这次攻击的日志保存下来，分析攻击路径，给服务器装上入侵检测系统，定期做漏洞扫描。否则，下次攻击可能就不是改个页面这么简单了。

对了，如果你用的是虚拟主机或者共享服务器，别折腾了，直接联系服务商让他们清理。共享环境里，隔壁网站被黑，你也会跟着遭殃，这种场景下你连根都找不到，只能靠服务商从底层处理。我见过小站长自己折腾三天，最后发现是同一个服务器上十几个站点全被种了马，白费功夫。