凌晨两点十七分，网站我盯着服务器监控面板上那条刺眼的被黑红色曲线，手指发凉。客攻CPU占用率从3%飙升到97%，击办只用了不到四分钟。网站这不是被黑什么流量高峰，这是客攻有人在用暴力破解撞我的SSH端口——日志里密密麻麻的失败尝试记录，每秒钟三十多次，击办像一场无声的网站暴雨砸在防火墙的门上。

网站被黑这种事，被黑第一反应永远是客攻懵的。别慌着拔网线，击办也别急着删文件，网站先做一件事：把服务器从公网断开。被黑直接关机也行，客攻哪怕业务中断一小时，也比被人拖走数据库强。我见过太多站长，发现被入侵后第一反应是去后台改密码，结果黑客早就留了后门，你一登录他反而看得更清楚。

断网之后，才是真正的战斗。你要做的不是修复，是取证。把系统日志、访问日志、数据库操作记录全部拷贝到本地，最好再打包一份哈希值存着——万一后面要报警或者走法律程序，这些是铁证。我上次处理一个客户的站，黑客删光了所有文件还留了勒索信，客户自己先重装了系统，结果啥证据都没了，最后只能认栽赔钱。

接下来才是排查漏洞。别指望什么安全扫描器能一步到位，那玩意儿只能扫出已知漏洞。你得自己翻日志，找时间线上的异常点。比如某个PHP文件突然在凌晨三点被修改过，比如某个后台账号的登录IP来自境外，再比如数据库里多了一张你从没见过的表。黑客往往不会只留一个入口，他会埋三四个后门，你清掉一个，他还能从另一个溜回来。

说到清理，我有个笨但有效的土办法：把服务器上所有可执行文件按修改时间排序，找出最近三天内变动的，一个个打开看。PHP一句话木马通常就几行，特征很明显——eval、base64_decode、system这些函数混在一起，基本没跑。但别只查web目录，/tmp、/var/tmp这些临时目录也是重灾区，黑客喜欢把工具丢在那儿。

等把后门清干净了，别急着恢复上线。你得先堵住那个被攻破的口子——弱口令就换强密码加密钥登录，老版本就升级打补丁，开放了多余端口就关掉。上次有个电商站被黑，查到最后居然是后台管理地址用了默认路径，黑客直接访问admin.php就进去了。这种低级错误，比漏洞本身更致命。

恢复上线之前，还有一件事要做：改所有密码。数据库密码、FTP密码、第三方API密钥，全部重置。黑客很可能已经把这些信息抄走了，你光改后台密码没用，他拿着数据库权限照样能把你的用户信息拖走倒卖。

最后说句扎心的：网站被黑不是终点，而是起点。你得把这次攻击当成一次免费的安全审计，把暴露出来的问题全部记下来。我自己的站被攻破过三次，每次之后我都会在服务器上装个文件完整性监控工具，任何核心文件被改动都能实时报警。这玩意儿不贵，但能让你在下次被黑时，提前几分钟发现问题——有时候，几分钟就是能不能保住数据的关键。

别指望防火墙能挡住所有攻击，也别迷信什么云安全服务。真正的安全，是你能在被黑之后快速反应、冷静处理、彻底清理。这跟打架一样，挨一拳不可怕，可怕的是被打了还愣在原地不知道还手。

(责任编辑：探索)