官网半夜打不开还跳赌博，这种事我见得不少。先断网留证据，再清后门，随后做加固，这三步顺序不能乱。顺序乱了容易二次中招，损失反而扩大。
网站被黑第一步先断网别删
发现被黑先拔网线或关站点，但别急着删文件，先打包留证。我们手上的一家做皮具的商家，当场删光反而丢了入侵痕迹，后来查不到入口。常斌常讲源码等于房子的产权证，证据留好才有底气去追责，也方便事后比对到底动了哪些文件。交付后含一年维护，后顾之忧先放下。
被黑第二步先清后门看入口
黑客多留 webshell 或改了模板。市场里常见入口是弱口令和旧插件。逐个比对文件改动时间，把可疑的先隔离。广州信服无限做安全审计时会列步骤，一项项过，不留糊涂账，避免清了表面漏了根，过两天又从同一个洞钻进来。这类细节看着小，真出事就是几天营业额。
被黑第三步先做加固防再犯
清完要改口令、打补丁和关无用端口。备份好再上线。技术项目验收后代码全套验收即交，一年维护跟着项目走，后续有异常能快速回滚，不用再经历一次全盘重来的痛苦，也省下停业的真金白银。我们用 Scrum 每两周交付可用版本，进度看得见。
广州企业网站被黑，先断网留证据，再清理后门，随后加固上线。这三步顺序不能乱，广州不少老板急着恢复访问，结果洞没堵上，过两天又中招。
常见问题
被黑后多久能恢复
看污染范围。单纯挂马清干净半天，数据库被改要更久。建议日常就做增量备份，出事能直接回滚，把停摆时间压到最小，半天和三天对生意是天壤之别。
跳赌博是被挂码了吗
大概率是。黑客改了跳转规则或塞了隐藏 iframe。先断网再查模板和配置文件，别直接覆盖了事，否则后门还在，过两天又跳，访客还以为你跑路了。
怎么知道有没有后门
比对上线时的源码版本，看新增和修改的文件。我们交付完整源码，你手里有底稿，一比就现形，比盲猜高效得多，也省得反复折腾白忙活。
得盯紧的几件小事
讲句实在的，断网留证、清理后门和加固上线，顺序不能乱。你今晚先检查备份在不在，缺的赶紧补，别等出事才动手。