网站被攻击时应按损失规模选择应急处理方案

网站突然出现首页被改、登录失败、页面大量超时等情况，第一反应不应是立刻删除文件或反复重启。正确的网站被攻击应急处理，重点是先判断损失规模，再决定是局部止损、临时切换，还是启动跨团队事件响应。

先判断：损失规模比攻击名称更重要

同一种异常，在不同网站上的后果可能完全不同。一个展示型站点短时间打不开，通常主要影响访问体验；如果是电商结算、会员中心或预约系统，几分钟中断也可能造成订单丢失、重复扣款或个人信息暴露。

等级	典型表现	优先目标	适合方案
轻度	个别页面跳转异常、少量恶意内容、后台出现异常账号	阻止继续扩散	局部隔离、修复文件、核验账号
中度	主要功能不可用、持续高频请求、疑似恶意代码运行	恢复核心服务并保留证据	临时限流、切换干净环境、开展入侵响应
重大	数据库疑似泄露、勒索、支付或身份认证受影响	控制损失和合规风险	成立事件小组、全面隔离、取证和通知评估

轻度事件：先止住局部影响

如果只有某个栏目被篡改，且用户登录、订单和数据库访问没有明显异常，可以采用低扰动方案。以使用 WordPress 的内容站为例，应先从管理后台撤销陌生账号权限，再暂停可疑插件或主题，记录异常页面、修改时间和相关文件路径。不要直接覆盖所有程序文件，否则可能破坏后续判断。

1. 让运维人员确认异常范围，保存页面截图、访问时间和报错信息。
2. 暂时关闭被影响的功能入口，保留首页或公告页等必要服务。
3. 从已知可信的发布包重新部署受影响组件，并检查数据库中新增的管理员、脚本和外链。
4. 修改管理账号密码，启用多因素认证；如果同一密码曾用于其他系统，也应一并更换。
5. 恢复后使用普通用户和管理员各测试一次，确认跳转、表单和文件上传没有异常。

这一等级的优点是恢复快、业务影响小，缺点是容易漏掉隐藏入口。若修复后仍出现陌生文件、异常外联或账号反复新增，就不应继续按轻度事件处理。

中度事件：隔离与恢复并行进行

当网站持续返回错误、服务器资源异常消耗，或发现 PHP、JavaScript 等程序被植入可疑代码时，应把服务隔离和证据保全同时推进。可先将访问切换到只读页面或维护页，暂停注册、支付、上传等高风险功能，避免攻击者继续写入。

推荐的操作顺序

1. 指定一名负责人统一记录时间线，避免多人同时改动现场。
2. 在网络层限制受影响主机的对外连接；不要贸然删除进程、日志或可疑文件。
3. 保存应用日志、认证记录、进程信息、文件变更时间和数据库异常记录，文件副本应设置只读权限。
4. 从干净的构建环境重新发布程序，单独核对配置、依赖包和上传内容，禁止把整个旧目录直接复制回去。
5. 恢复前轮换数据库账号、应用密钥、云平台访问令牌和第三方接口凭证。
6. 先开放低风险页面，再逐项恢复登录、查询、支付等功能，并观察错误率和异常请求。

这里的核心是“重建优先于原地清理”。恶意代码清理适合范围明确、证据已经保存的局部文件；如果无法确认攻击者停留时间，重建干净环境通常更稳妥，但需要准备兼容性测试和回滚安排。

重大事件：把服务、数据和责任边界分开处理

一旦涉及银行卡信息、身份证件、密码哈希、客户订单，或出现勒索、批量删除、持续外联等迹象，应立即升级为重大事件。此时不能只追求尽快上线，还要避免破坏取证材料和扩大泄露范围。

网站被攻击应急处理可按四条线推进：第一，安全人员负责隔离、取证和判断入侵路径；第二，业务负责人确认哪些功能必须保留；第三，法务或合规人员评估通知、报案和合同义务；第四，客服准备面向用户的统一说明。是否通知用户、监管机构或合作方，应依据适用法律、数据类型和事实核查结果决定，不能在尚未确认时公开猜测。

如果攻击表现为大流量冲击，DDoS防护与应用层防护要分开判断：前者主要处理带宽、连接和网络容量问题，后者关注登录、搜索、接口调用等异常行为。单纯增加服务器资源，可能只能延缓故障，无法解决凭证泄露或程序漏洞。

恢复后的复盘：用证据决定下一步

恢复上线后，应核对异常发生前后的账号、配置、发布记录和数据变更，确认没有遗留的计划任务、后门账户或外部密钥。复盘报告至少写清四项内容：攻击开始和结束时间、受影响资产、已确认与未确认的损失、下一步责任人与截止日期。

不要把“网站已经能打开”当作事件结束。只有在核心功能测试通过、敏感凭证完成轮换、异常行为得到持续观察，并且相关负责人确认风险可接受后，网站被攻击应急处理才算进入收尾阶段。

常见问题

1. 可以先重启服务器吗？

如果服务已经危及用户或主机稳定性，可以为止损而重启，但应先保存必要证据。重启可能清除内存中的进程和临时信息，不适合作为唯一调查手段。

2. 发现一个木马文件后能直接删除吗？

不建议直接删除。应先保留副本、记录路径和时间，再判断是否还有同类文件、异常账号或被修改的配置。

3. 什么时候必须升级处理等级？

出现数据泄露迹象、支付功能异常、多个系统同时受影响、攻击者持续获得权限，或无法确认入侵范围时，应立即按更高等级响应。

4. 服务必须马上恢复，能否边查边上线？

可以采用只读页、静态公告或临时备用系统承接访问，但不应让未经核验的旧环境继续处理登录、支付和敏感数据。