凌晨三点，网站手机响了。被黑客户在那头喊：“网站首页变成黑底红字了，客攻说我们数据全被锁了。击办”我打开电脑一看，网站首页被替换成一张勒索信，被黑数据库里三十万条用户记录被加密，客攻备份文件也被删得干干净净。击办这不是网站电影情节，是被黑我去年亲历的一次应急响应。

网站被黑，客攻第一反应别去拔网线。击办很多人一着急就把服务器关了，网站结果内存里的被黑进程、网络连接、客攻临时日志全没了。正确做法是：先隔离，但别关机。把服务器从负载均衡里摘掉，或者用防火墙切断外网访问，保留现场。如果还能SSH上去，立刻执行netstat -antp和ps aux，把当前连接和进程列表存下来。别嫌麻烦，这些信息后面追查入口全靠它。

接着翻日志。Web访问日志、系统认证日志、数据库慢查询日志，一个都别放过。我那次就是靠/var/log/nginx/access.log里一条奇怪的POST请求找到突破口的——攻击者用了一个刚爆出三天的ThinkPHP漏洞，路径里带着?s=index/\think\app/invokefunction。如果日志被清了，检查last、lastlog和/root/.bash_history，有时候攻击者会留下操作痕迹。别指望杀毒软件，那玩意儿对webshell基本瞎。

找到入口后，别急着删文件。先备份整个网站目录和数据库，哪怕已经加密了。用tar打包，传到另一台机器上。然后改所有密码——数据库、SSH、后台管理员、FTP，一个都别漏。注意，改密码要在隔离环境下做，否则你刚改完，木马又传一遍。我见过一个案例，运维改了数据库密码，但没改config.php里的连接串，网站直接502，折腾半天才发现。

清理后门是个体力活。别只删那个明显的shell.php。攻击者往往留了多个入口：图片目录里的.php.jpg、wp-content/uploads下的伪装文件、甚至.htaccess里的自动包含。用find . -name "*.php" -mtime -7找出最近修改的文件，逐个看。更狠的是内存马，不落地文件，重启就没了，但重启前它还在。

恢复数据？如果备份没被加密，直接还原。但还原前务必确认备份本身干净——有些攻击者会潜伏几周，等你还原了再二次加密。我建议还原后先改所有密码，再打补丁，最后才开外网。如果没备份，别急着付赎金。付了也不一定给密钥，给了也可能二次勒索。找专业数据恢复公司，或者报警。国内有些地方网安有合作的数据恢复渠道，比你自己瞎试强。

最后说个容易忽略的：通知用户。如果用户数据泄露，根据《个人信息保护法》，你得在72小时内报告监管部门并通知个人。别想着瞒，瞒不住。我见过一个电商网站被拖库，老板想私下解决，结果三个月后有人在暗网卖数据，用户集体投诉，罚款比及时报告还重。

整个流程走下来，快则几小时，慢则几天。别慌，别乱删，别关服务器。按顺序来：隔离、取证、堵漏、清理、恢复、通知。平时做好备份和日志留存，比出事后再学应急强一百倍。