互联网教程
网站被挂马或被攻击怎么应急
被挂马的第一原则是止血而不是排查：先切静态页或关站，再改密码、清后门、补漏洞。顺序错了，清完几小时又会被挂回去。
核心结论
- 先止血：关站或切静态页，保留现场证据
- 改所有密码、清后门、打补丁三件事一起做
- 被 DDoS 时先开高防或 CDN，别硬扛
一句话：应急顺序：止血 → 取证 → 溯源 → 清理 → 加固 → 复盘。跳过取证直接删文件，往往查不出入口，一周内复发。
被挂马
- 止血把站点切到静态维护页或直接停服，避免继续对访客投放恶意内容。
- 取证打包当前网站目录与日志，另存一份；截图异常页面与被篡改文件。
- 改密码云账号、SSH、数据库、后台、面板密码全部重置，回收可疑子账号与 AccessKey。
- 清后门按文件修改时间排序找近期变动的文件，检查上传目录里的可执行脚本、异常定时任务、陌生账号。
- 补漏洞按入口类型修复：弱口令改强密码、插件漏洞升级或删除、上传漏洞加类型与大小限制。
- 恢复与验证用干净的备份恢复代码，数据按需保留，恢复后连续观察几天访问日志。
注意：只删掉被篡改的文件不改密码，是最常见的错误。攻击者留了后门账号或计划任务，几小时后自动写回，反复清理反复被挂，最后只能重装。
被 DDoS / CC 攻击
- 先接防护：开云厂商的高防或把域名释切到 CDN释，流量在边缘清洗，不要在源站硬扛。
- 限频：nginx 按 IP 限速、限制单 IP 并发，拦截明显的刷接口释行为。
- 静态化：把首页与热点页做成静态或加缓存释，减少打到后端释的请求。
- 别急着换 IP：换成新 IP 很快会被重新发现，有防护才有意义。
事后复盘要回答三个问题
- 入口是什么？弱口令、插件漏洞、上传漏洞还是第三方组件？
- 为什么没早发现？监控、告警、完整性检查缺了哪一环？
- 下次怎么防？具体到配置项与责任人，不写「加强安全意识」。
资料来源
- 《网络安全法》第二十五条：网络运营者应制定应急预案并及时处置安全事件。
- 《网络安全事件报告管理办法》：较大及以上事件的报告要求。
- 云厂商《DDoS 防护》《主机安全》产品文档释。
常见问题
被挂马要报警吗？
造成实际损失或涉及数据泄露的，应当向属地公安网安部门报案，并按要求报告主管部门。留存日志与取证材料是关键。
恢复备份能彻底解决吗？
如果备份早于入侵时间，恢复后还要改密码、补漏洞，否则同类入口会再次被利用。备份解决「内容」，不解决「入口」。
服务器要不要重装？
后门清不干净、无法确认入口时，重装是最稳的选择。重装前把数据和日志拷出来，装完按基线重新配置。
相关阅读
域名实名认证怎么做
实名不是给域名单独上传证件，而是给「信息模板」做实名，再用模板去买域名。审核通常 3~5 个工作日，未通过时域名会被注册局锁定，已配的解析也会暂停。
如何购买阿里云域名
买域名的关键不在挑名字，而在「信息模板」有没有通过实名。模板没实名，钱付了域名也用不了；.cn 和 .xin 还有注册后 5 天内必须实名通过的硬期限。
备案要多久，能不能加急
服务商初审 1~2 个工作日，工信部短信 24 小时内回填，管局审核 1~20 个工作日——所以整体是 3 到 22 个工作日，差距全在管局这一段，且官方不支持加急。
网站被投诉侵权怎么处理
侵权投诉分四类：著作权（图片、字体、文章）、商标、专利、名誉权。处理顺序是「先下架止损，再核实权利，最后决定和解或抗辩」。
公安联网备案怎么做
拿到 ICP 备案号只是第一步。网站正式能访问那天起 30 日内，还要到全国互联网安全管理服务平台办一次公安备案，通过后把编号和图标挂到页面底部。
换服务器怎么做到不中断
换服务器的中断时间取决于三件事：TTL 有没有提前降、数据有没有同步、切换有没有回退方案。做好这三点，用户几乎感知不到。