上周三凌晨三点，被劫我客户的网站电商网站首页被换成了黑底绿字的黑客宣言，配图是还原一只发光的小丑鱼。那是被劫我接手过最紧急的“还原”任务——不是把页面改回去那么简单，得先弄明白对方是网站怎么进来的。

被劫持的还原网站，还原的被劫第一步永远是断网。别急着删文件，网站直接拔掉服务器网线，还原或者登录云控制台把公网IP停掉。被劫这一步是网站为了防止黑客在你还原过程中继续写入后门，你这边改着，还原他那边给你重新种上木马，被劫等于白忙活。网站我见过太多人先去看首页文件，还原结果改完刷新又变回去，原因就是后门没堵住，对方正开着远程终端看你表演。

断网之后，别碰网站文件，先查服务器日志。重点看最近的FTP登录记录和后台管理系统的访问记录。那次客户的问题就出在后台——他们的管理员账号密码是“admin123”，黑客用暴力破解软件跑了不到十分钟就进去了。日志里清清楚楚地显示，凌晨两点四十七分，一个来自东南亚的IP用管理员身份登录，上传了一个压缩包。找到这个上传记录，就等于找到了劫持的源头。

接下来才是还原操作。如果你有备份，直接恢复是最快的方案。但注意，备份必须是从劫持发生之前的时间点取的。我那客户有每天凌晨自动备份的习惯，所以恢复到了两天前的状态。如果你没有备份，那就得手动清理了——检查网站根目录下最近修改过的文件，把可疑的PHP或ASP文件删掉，再对比官方源文件，把被篡改的首页、JS文件替换回去。这个过程很烦琐，但好在黑客通常只改几个关键文件，不会把整个网站重写一遍。

文件清理干净后，别急着重新上线。先做三件事：改掉所有管理密码，包括数据库密码、FTP密码、后台密码，密码强度至少十六位混搭；打上已知的漏洞补丁，尤其是CMS系统（内容管理系统）的更新；检查服务器上有没有多出新的计划任务或者开机启动项，那是黑客留后门的常见位置。

最后一步，重新接入网络，但别直接恢复域名解析。先用临时访问地址（比如IP加端口）测试网站是否正常，确认页面能打开、数据库能连接、后台能登录，再正式恢复DNS解析。整个过程大概需要两到四小时，取决于你的备份完整度和手速。

说句实话，网站被劫持这事儿，七成以上是密码太弱或者软件没更新造成的。那次客户后来问我，能不能保证不再发生。我说不能，但如果你把密码改成“q#8$kLp@2vX”，每周更新一次CMS，我敢说黑客会嫌麻烦去挑别的软柿子捏。还原只是治标，让黑客觉得你不好惹，才是治本。