网站被挂马之后：一次完整的安全应急与加固记录

本文记录一次真实的网站安全事件处理过程。客户是使用第三方建站系统搭建的外贸站，发现问题时页面已经被注入了大量异常外链。

发现过程

线索来自搜索引擎的收录异常：站点索引量在一个月内翻了三倍，且搜索品牌名时出现了大量与业务无关的结果。客户初步判断是「被搜索引擎惩罚」，但实际原因要严重得多。

排查路径

1. 确认注入点。对比服务器文件修改时间，定位到三个被篡改的脚本文件与两个新增的可疑目录。
2. 确认入口。通过访问日志回溯，发现攻击者利用的是后台登录页的弱口令暴力破解，而不是系统漏洞。
3. 确认影响范围。检查数据库中的内容表，确认注入内容全部来自文件层，内容表未被写入。

处置过程

• 站点临时下线，保留完整文件与日志快照用于分析；
• 清除篡改文件与可疑目录，从备份恢复被修改的模板；
• 重置全部后台账号口令，并强制启用双因素验证；
• 限制后台登录页的访问来源，并加入登录失败锁定与验证码；
• 提交搜索引擎重新抓取，清除已收录的异常页面。

值得注意的几点

第一，这次事件的入口不是漏洞，而是弱口令。攻击者使用的字典里包含「公司简称加年份」这类高度可猜的组合。第二，客户虽然配置了每日备份，但备份文件与站点在同一台服务器上，如果没有及时发现，备份也会被污染。第三，日志只保留了两周，导致部分攻击行为无法完整回溯。

安全防护的投入优先级，应该是：先消除弱口令与后台暴露面，再考虑花哨的防护产品。

加固后的基线配置

• 后台登录页不对外网开放，或至少限制来源 IP 段；
• 所有管理账号强制十二位以上复杂口令，并定期轮换；
• 登录连续失败锁定，配合图形验证码；
• 上传目录禁止脚本执行，上传文件做类型与内容双重校验；
• 日志保留三个月以上，并异地备份；
• 备份文件存放在独立位置，定期做恢复演练。

这套基线并不复杂，但如果一开始就没有建立，出事之后再补的成本会高出很多。