处理被黑这件事，技术上其实不难，难的是忍住不先动手删东西。发现站上多了陌生的文件、页面被跳转到别处、搜索平台发来安全提醒，人的第一反应是赶紧把脏东西清掉，让站恢复正常。这个反射动作恰恰是错误的，因为你清掉的东西里，有很大一部分是判断“对方怎么进来的”的唯一线索。删完之后虽然站看起来干净了，但漏洞还开着，通常过几天就会再中一次。
正确的顺序是：先确认，再止损，然后留证，接着清除，最后补漏洞和申诉。这五步的顺序不能换。下面按这个顺序说清楚每一步具体做什么，以及最容易在哪一步做错。
止损要在清除之前
第一步是确认到底是不是被黑了。最快的入口是搜索引擎官方给的结果。Google在Search Console里提供了安全问题的报告，被黑的情形会分成几类显示：一类是利用你的站传播恶意软件，下面还会细分出“服务器配置被修改”“错误模板被注入”这样的类型；一类是页面被塞进垃圾内容，通常显示为内容注入；还有一类是做钓鱼页面，这类有时候在安全问题报告里什么都不显示，只在消息中心里有一条提醒。
在这一步有一个动作必须在删任何文件之前做：检查对方的账号有没有进到你的站点管理后台。Google官方的处置指引里专门强调了这一点——去Search Console的用户与权限设置里，确认列表中的每一个用户和所有者都是你自己授权的，发现陌生的就先记录下邮箱地址，再把它删掉；如果对方拿到的是“所有者”身份，光删账号还不够，还要把可能存在的验证令牌一起清掉，比如首页上的验证元标签，或者服务器上的验证文件。这一步不做，你清完文件对方还能再进来。
同一个指引里还提醒要看设置有没有被改过。有两个地方特别容易被动手脚：一是抓取速率被调低，目的是让搜索引擎少来，减少被发现的概率；二是移除工具和地址变更工具里有没有被塞进你没提交过的记录。这两处都属于“影响你在搜索里露不露面”的设置，正常情况下你根本不会想起来去看，所以它们是理想的藏身处。
确认之后是止损。止损的核心是把对方的入口断掉，而不是把痕迹擦掉。要改的地方包括：网站后台的管理员密码、数据库密码、服务器SSH密码、面板登录密码、以及网站文件里那些写死的密钥和令牌。同时把能远程登录的地方检查一遍，有没有多出来的账号、有没有来路不明的公钥、有没有陌生的定时任务——尤其是定时任务，它是被黑之后最常用的“复活”手段，攻击者经常留一条定时任务，隔一段时间重新把后门拉回来。
留证这步，决定了你能不能补上漏洞
止损之后、清除之前，有一段必须做但常常被跳过的动作：把现场存下来。具体做法是把整个站点目录打包留一份副本，导出访问日志和错误日志，把搜索平台的安全报告和消息中心里的提醒截图保存。这些资料有两个用处：一是申诉时要交给平台看，二是你自己要判断对方是从哪儿进来的。没有这份副本，你只能靠猜。
有了副本之后，判断入侵路径就有依据了。常见入口有几个：建站程序或者插件有已知漏洞没更新、后台用了弱密码或者和其他站点重复的密码、主题或插件是从非官方渠道下载的带后门版本、服务器上有对外暴露又没有加固的服务。翻一遍文件的修改时间，把最近改动过的文件列出来，对照官方原始文件找出被改动的部分，通常能定位到攻击者留了什么。
然后才是清除。清除的原则是“用干净的文件覆盖”，而不是“手工删除可疑的代码段”。手工删看起来精准，实际上很容易漏掉一处，而且攻击者经常在正常文件里插入一小段混淆过的代码，肉眼很难判断。更稳妥的路径是：从官方渠道重新下载一份同版本的建站程序，把核心文件整体覆盖回去；数据库要单独处理，检查有没有被插入恶意内容；上传目录要重点看，那里是伪装成图片的木马最常见的藏身处。
补漏洞这一步决定了你会不会第二次中招。要做的包括：把建站程序和所有插件更新到最新版本，删掉已经不用的插件和主题——留着不用的旧插件是最容易被利用的一类，因为没人会去更新它；关闭服务器上不需要的服务和端口；如果站点在面板上，把面板本身的版本也更新掉。做完之后再用安全工具扫一遍，确认没有残留。
最后一步是申诉。如果搜索平台已经把你的站标成了风险站，需要在官方平台提交申诉：百度是登录搜索资源平台，在网站安全相关的板块提交风险网站申诉；Google是通过Search Console提交安全问题申诉。提交时说清楚三件事：被黑的情况、你做了哪些处理、以及防止再次发生的措施，有条件的话附上扫描报告。审核通常一到三个工作日，通过之后风险标记会逐步移除。
回头看这五步，被跳过最多的永远是第二步的“先改密码”。很多人觉得清掉文件就算处理完了，密码还是原来那个，插件还是老版本，然后一个月后又中一次。被黑这件事，处理动作本身不值钱，值钱的是你有没有在删掉线索之前，先弄清楚对方是从哪扇门进来的。顺序对了，一次就能收干净；顺序错了，你会和别人打一场持久战。
申请创业报道，分享创业好点子。点击此处，共同探讨创业新机遇！
