发现网站被篡改，先别慌
前几天老张的个人博客突然打不开，页面上全是莫名其妙的广告链接，连搜索引擎都提示“此网站可能危险”。他这才意识到——网站被篡改了。这种情况其实不少见，尤其是使用开源建站系统又没及时更新的朋友。
遇到这种问题，关键是要快准狠地处理，避免损失扩大。下面几步，能帮你把网站从“中毒”状态拉回来。
第一步：立即断开网络连接或暂停服务
如果你有服务器权限，第一时间停用网站或临时关闭端口。比如在 Nginx 配置里加个维护页，或者直接停掉 Apache 服务：
sudo systemctl stop apache2这一步是为了防止攻击者继续利用你的网站传播恶意代码，也避免访客中招。
第二步：检查文件是否被植入后门
登录服务器，重点查看近期被修改过的 PHP、JS 或 HTML 文件。比如：
find /var/www/html -type f -mtime -7 -name "*.php"你会发现一些可疑内容，比如 base64_decode 加密的代码段，或者突然多出来的 eval() 函数。这些都是典型的后门特征。
比如这种：
<?php @eval(base64_decode('PD9waHAgZWNobyAiaGVsbG8iOyA/Pg==')); ?>看到就得删，别犹豫。
第三步：恢复干净的备份
如果你有定期备份的习惯，现在就是派上用场的时候了。把最近一次确认安全的数据库和文件恢复上去。没有备份？那只能手动清理，逐个文件比对原始版本。
记得恢复后修改所有管理员账号密码，包括数据库、FTP、后台登录这些。
第四步：升级系统和插件
大多数被黑是因为用了过时的 CMS 版本或漏洞插件。WordPress、Typecho、Discuz 这些常见程序，一旦爆出漏洞，黑客工具立马就会上线批量扫描。
进后台把核心程序、主题、插件全部更新到最新版。别嫌麻烦，一次疏忽可能让你重做一遍站。
第五步：安装安全防护软件
别指望靠运气躲过下一次攻击。装个靠谱的安全插件，比如 Wordfence（WordPress）、安全狗（服务器端），设置文件监控和登录防护。
也可以在服务器上部署简单的防火墙规则，限制后台访问 IP：
iptables -A INPUT -p tcp --dport 80 -s 192.168.1.100 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j DROP只允许你自己的 IP 访问管理后台，安全性提升一大截。
第六步：提交申诉并监测后续情况
如果已经被搜索引擎标记为危险网站，去 Google Search Console 或百度站长平台提交安全检测申请，说明已修复。
之后几天多盯着点日志，看有没有异常访问。可以用简单命令监控实时请求：
tail -f /var/log/apache2/access.log一旦发现奇怪的 URL 请求，马上追查来源。
网站被篡改不是世界末日，但得当回事。就像家里被盗后要换锁一样，别修完就完事，得堵住漏洞，才能安心。”}