网站被黑的典型表现
早上打开电脑，输入公司网址，页面跳转到了一个赌博网站。这是去年10月华苑产业园一家做医疗器械的小公司遇到的事，老板姓刘，当时差点急疯了。网站首页被篡改，百度快照显示异常标题，Google Search Console发了十几封安全警告邮件。这种事在天津不少见，尤其是中小企业，安全意识薄弱，服务器密码还用admin123456的大有人在。
被黑的表现无非几种：首页内容被替换、网站跳转到灰色网站、百度收录暴增大量垃圾页面、服务器CPU飙到100%导致打不开。说白了，一旦发现这些情况，基本可以确定网站被人搞了。
第一时间该做什么
第一步，断网。把服务器从公网摘下来，或者临时关闭Web服务。很多人第一反应是赶紧改回来，但你改的时候黑客可能还在线，改了也白改。天津泰达开发区一家做外贸的工厂去年就吃了这个亏，技术员来回改了6次首页，每次改完10分钟又被覆盖，因为对方留了后门。
第二步，排查入口。查服务器日志，看最近48小时的异常访问记录，重点找POST请求和执行命令的痕迹。常见的入侵路径有这几个：后台弱口令、CMS漏洞（比如织梦老版本的SQL注入）、插件被植入木马。河东区一家网络公司帮客户排查时发现，入侵点是一个3年没更新的WordPress插件，黑客通过它上传了Webshell。
清理和恢复
别急着恢复网站。先把整站打包备份，留着取证用。然后对比代码和官方原版，找出被改动过的文件。手动删除木马文件后，全站重置密码——后台管理员密码、FTP密码、数据库密码，一个都不能漏。有条件的话重装系统更干净，南开区一家做教育的机构去年被黑后直接重装了CentOS，花了4个小时搞定，比逐个排查快多了。
恢复上线前，升级CMS到最新版本，该打的补丁全打上。网站防火墙装一个，Cloudflare或者国内的安全宝都行。数据备份重新配好，至少做到每日自动备份到异地。西青区一家物流公司的做法可以参考：他们用rsync每天凌晨3点把网站数据同步到另一台服务器，上周被勒索病毒锁了文件，2小时就恢复了，损失控制在几千块。
后续防范
被黑一次就得长记性。定期改密码、及时更新系统、装安全插件，这三件事做到位，90%的入侵都能挡住。天津滨海新区的企业安全整体水平在提升，但仍有不少中小企业觉得自己的小公司没人会盯上，这种想法很危险。黑客不挑大小，他们用工具批量扫描，碰到漏洞就进，跟捞鱼一个道理。