宝安网站被篡改后的补救步骤（电子信息企业的做法）（实操要点）

网站被篡改后，先别急着重装系统。对电子信息企业来说，页面上可能挂有产品参数、联系方式甚至客户留言，错误操作会让取证线索丢失，也可能让问题反复。下面按实际操作顺序说明每一步做什么、检查什么、记录什么，以及什么情况下需要换一种做法。

第一步：止损，先控制影响面

发现异常页面、跳转或陌生文件后，第一时间做三件事：暂停站点对外访问、保留现场、通知相关人员。暂停不是把服务器关机，而是通过接入层或Web服务配置返回维护页，避免继续向访客输出被篡改内容。保留现场包括对网站目录、数据库、日志做快照或备份，备份后要抽样验证能否恢复，不能只看备份任务显示成功。通知对象包括负责服务器、域名解析、内容发布和对外沟通的同事，明确谁有权改配置、谁负责对外说明。

记录字段建议包括：发现时间、发现人、异常表现（页面文字、跳转地址、文件路径）、已执行的操作及时间、操作人、备份位置与校验结果。这些记录后面排查和复盘都要用。

第二步：排查入口，别只删异常文件

篡改通常是结果，不是原因。排查时按“账号—程序—服务器—周边”四条线走。账号线查后台用户、数据库账号、FTP或SSH账号是否有新增、弱口令、异地登录；程序线查CMS版本、插件、上传目录、模板文件修改时间；服务器线查计划任务、启动项、异常进程、开放端口；周边线查域名解析是否被改、CDN或对象存储是否被写入异常内容。每条线都要记录检查项和结论，不能只写“已检查”。

如果发现异常文件，先复制一份到隔离目录再删除，保留文件哈希和路径。若无法判断入口，不要反复在线上环境试删试改，应在测试环境用备份副本复现和验证。

第三步：恢复与验证，按条件分支处理

恢复前先判断备份是否干净。如果备份时间点早于入侵时间且经过校验，可以走“干净备份恢复—改密—补丁—观察”的路径；如果备份也可能被污染，或者没有可用备份，则需要从代码仓库和数据库导出重建，逐项比对页面与数据。恢复后不要立刻全量开放，先在小范围或维护模式下检查核心页面、表单提交、后台登录和日志是否有异常，确认后再恢复访问。

验证时要看证据：页面内容是否与预期一致、文件修改时间是否合理、账号列表有无陌生项、日志中是否还有异常请求。若验证中发现新问题，回到排查步骤，不要直接对外宣布恢复完成。

第四步：加固，把本次问题变成检查项

加固不是买某个产品就结束。先把本次排查出的入口对应的措施落实：后台强制强密码并启用多因素认证（若系统支持）、删除无用账号和插件、关闭不必要的外网端口、上传目录禁止执行脚本、权限在服务端校验而非只在前端隐藏。再补上日常检查项：定期核对文件完整性、查看登录失败记录、检查备份可恢复性。每项措施记录负责人和复查时间，避免写在文档里没人执行。

适用边界要说明：如果网站托管在第三方平台，部分配置权限不在企业手里，需要按接入方当前提供的管理功能核实能做什么；如果涉及用户数据泄露，是否报告、如何报告应按实际适用的规则和接入方要求处理，本文不给出统一结论。