网站突然打不开、首页被换成奇怪内容跟流量暴涨，这些是常见的被攻击信号。慌没用，按步骤处理才快。被攻击的头一小时，该做什么？
先断开，再保留证据
第一件事不是修，是隔离。验收照单。把域名指向临时页，或者直接停掉服务，先止血。同时把日志备份下来，包括访问日志、错误日志以及数据库日志。这一步很关键，很多客户急着恢复，把日志覆盖了，后面查不清怎么进来的。我们接手过几次，日志已经没了，只能靠猜。备份完再动手清理，顺序不能反。算进去还划算吗？
如果是服务器被入侵，最稳妥的做法是重置系统，从备份恢复数据，而不是在原机上删文件。攻击者往往留了后门，肉眼看不出来。我们一般建议重装之后先改所有密码，包括数据库跟后台和服务器与第三方账号。密码要换一遍，别只改登录那个。还有 SSH 密钥、API 密钥这些容易忘的。全部换完再恢复业务。
找出入口
恢复之后要查怎么被攻破的，否则同样的洞还在。常见入口有几个：后台弱口令以及插件漏洞跟上传功能没限制和老版本框架的已知漏洞。我们查过一个站，后台密码是 admin123，攻击者直接登进去传了木马。还有一个是图片上传没校验类型，传上去的是脚本文件。这些漏洞都不高级，但每年都有人栽。
查的时候对着访问日志看异常请求，尤其是那些返回两百状态码的可疑路径。批量扫描的痕迹很明显，一堆不存在的路径、奇怪的参数。找到入口之后立刻修，别只删文件。我们一般会让客户把同类问题一起排查：还有没有别的上传点、别的弱口令。一处被攻破，往往说明整体防护需要提升。
之后怎么防
事后做几件事：开日志监控和设异常告警与定期改密码以及及时打补丁。备份要做并且要能恢复，很多人备份了但从来没试过恢复。我们见过备份文件是空的，出事时才发现。再加一层防护，比如 WAF 或者访问频率限制，能挡住大部分自动扫描。这些都不贵，比被攻破之后重做便宜得多。
安全应急常见疑问
网站被攻击先做什么
先隔离止血，把域名指向临时页或暂停服务，同时完整备份访问、错误与数据库日志。
被入侵后怎么恢复
建议重置系统并从备份恢复数据，随后更换数据库、后台以及服务器与第三方账号的全部密码。
之后怎么防止再被攻破
开日志监控与异常告警、定期改密码与打补丁与验证备份可恢复，并加 WAF 或访问频率限制。
总结：被攻击先隔离止血、保留日志，从备份恢复后换全部密码，再查入口补漏洞，末尾把监控和备份做起来。