被攻击后的应急四步

第一步隔离：先把网站下线或者关掉写入权限，别让攻击者继续动作，也别让客人访问到被篡改的页面。第二步取证：截图留证据，看日志找入侵入口——是从弱密码进来的，还是旧漏洞被打的。知道怎么进来的，才知道怎么堵。

第三步清理：改掉所有密码，删后门文件，升级程序版本，必要时重装环境再部署干净代码。第四步恢复：用最近的干净备份还原，上线前先在测试环境过一遍。有客户中招后只删了被挂的页面，三天后又被挂，就是后门没清干净。

判断损害范围

重点查三样：数据库有没有被拖走、有没有被植入赌博或诈骗链接、有没有被拿去发垃圾邮件。如果网站存了客人手机号等敏感信息，要评估泄露风险，必要时跟客人打招呼，别捂着。

事后的备份方案

处理完，备份方案立刻安排，这次有切肤之痛，标准也能定得实在：数据库每日备份、网站文件每周备份、备份异地存放、每季度做一次恢复演练。再加三件便宜的防身装备：全站强密码加两步验证、程序保持最新版、装个基础监控，CPU异常和页面被改第一时间报警。备份的价值在出事那一刻体现，平时它是你最不想花的那笔小钱。

动手前的检查单

给六安做技术维护，我习惯让客户开工前过一张检查单：账号密码都是强密码吗、系统和插件是最新版吗、备份是最近的吗、出问题找谁的电话在手边吗。四个问题都答"是"，动手；有一个"否"，先补。这张单子看着简单，本地一半的故障都能靠它提前拦住。技术活不怕慢，就怕在没准备的状态下硬上。

总结

被攻击的处理顺序：隔离、取证、清理、恢复；事后把备份做成常态：每日数据库、每周文件、异地存、定期演练。六安管网站的，被攻击不可怕，可怕的是同一个坑摔两次。。六安皋城路一带的同行，还有大别山沿线的老板，聊起来都是这个体会。