凌晨三点，网站老王给我打电话，被黑声音都在抖：“兄弟，恢复我网站被人黑了，网站首页全是被黑赌博广告，客户都看到了。恢复”

我打开电脑一看，网站典型的被黑挂马入侵。后台密码被改，恢复文件被篡改，网站数据库里还多了几千个垃圾账号。被黑老王这网站是恢复个做了五年的外贸站，流量全靠谷歌自然搜索，网站这下全完了？被黑

别慌。网站被黑，恢复恢复是有套路的，我直接说操作步骤。

第一步，先断网，别急着删东西。把服务器从公网断开，或者至少把网站服务停了。很多人的第一反应是赶紧把恶意页面删了，但那样反而破坏现场。黑客可能留了后门，你删了表面症状，他随时能再进来。这时候你要做的是保全证据——把整个网站目录打包下载，把数据库导出备份。别管文件多乱，先原样存一份。

我见过最惨的案例，是个做电商的小老板，发现被黑后立刻登录后台，把首页改回来，结果黑客通过他改页面的操作又拿到新权限，第二天整个数据库被清空。这就是没隔离就动手的代价。

第二步，找漏洞入口。你得知道黑客打哪儿进来的。常见的有三种：一是老旧的CMS系统，比如用了五六年没升级的WordPress或织梦；二是弱密码，后台密码是admin123这种；三是第三方插件漏洞，尤其是不维护的免费插件。

老王那网站用的是某国产CMS，官方早就停止更新了，漏洞一大堆。我登录服务器看日志，发现他后台登录地址没改，攻击者从凌晨两点开始暴力破解，试了不到一千次密码就进去了。这种弱口令问题，其实比技术漏洞更常见。

第三步，彻底清理。把网站目录里所有可疑文件找出来。别只删首页，黑客通常会在服务器上放webshell——一个藏得很深的小文件，用来远程控制你的服务器。常见位置是上传目录、图片目录、甚至主题文件夹里。用命令行搜索最近修改过的文件，尤其是PHP、JSP这些脚本文件，找到后不要直接删，先下载留证，再删除。

数据库也要清理。看看有没有多出来的管理员账户，或者某些表里被塞了恶意代码。老王那网站数据库里多了个user表，里面全是垃圾数据，幸好原数据没被删。

第四步，修补漏洞。这一步很多人跳过，结果过两天又被黑。把CMS升级到最新版，改掉所有密码，后台登录地址改成不一样的路径，关闭不用的端口。如果你用的是旧CMS，实在没法升级，那就换一个吧——这年头还抱着不维护的系统，等于把家门钥匙挂在门口。

老王那网站，我帮他换了套开源的、还在维护的系统，数据迁移过去，前后花了两天。他问我为什么这么慢，我说慢是为了以后不慢。

第五步，恢复上线，观察。重新上线前，把备份的干净数据导回去，然后开启安全监控。别急着通知客户，先自己连续盯几天日志。黑客有时候会留个定时任务，隔几天再发作一次。所以上线后一周内，每天检查服务器日志和文件改动情况。

老王网站恢复后第三天，又收到一条异常登录提醒——是黑客留下的后门程序在尝试连接。幸好提前装了安全插件，直接拦截了。

最后说句实在的：网站被黑不可怕，可怕的是你连备份都没有。老王这次运气好，数据没丢。你要是还没做过完整备份，现在就去做。别等被黑了再想这事，那感觉跟丢了钱包才想起身份证也在里面一样——晚了。