有老板半夜给我打电话，说网站被挂马了，问怎么删。我说先别删，把网站关掉那一秒，证据就少了一半。挂马的处理，顺序错了会留下后患。有客户直接就来问，网站被挂马这笔钱花得值不值。我的建议是，先找一个内部的人牵头。
先断网隔离，别急着清理
发现被挂马，第一件事是把站点隔离起来，别让它继续对外服务。挂马的页面还在，搜索引擎和用户都会看到，影响每多一小时都在扩大。
我们一般建议先把站点切到一个维护页，或者直接停掉，不要让访问继续。同时把当前的网站文件和数据库完整备份一份，留着分析。
备份这一步很关键。清理完之后漏洞没堵上，过两天又被挂一次，那时候想回头找原因，原始的样子已经没了。
找入口比删后门重要
挂马的本质是有人找到了进入你网站的路。只删掉挂马的代码，路还在，很快会被再走一次。
我们的做法是顺着时间线查：什么时候被改的、改了什么文件，另外还有从哪个入口进来的。常见入口是后台弱密码、老组件的漏洞，还有上传功能的过滤不严。
这一步需要看日志。如果日志早就关了，那就只能靠比对文件来推断。这也是为什么我们建议网站平时就把访问日志开着，出事时它就是线索。
清理完要补漏洞
把木马删掉只是第一步。入口不堵上，等于替别人装修了一遍房子，他随时能再来。
我们的建议是清理完之后做三件事：改掉所有后台密码、升级老旧的组件，以及检查上传功能。这三项做完，再观察一周。
还有一条，清理完之后要跟搜索引擎报备，让它重新抓一遍。不然搜索结果里可能还留着被挂马的快照，客户搜到会以为你的站还没修好。
网站被挂马这件事，客户最关心这几件事
网站怎么会被挂马
常见入口是后台弱密码、老组件漏洞，再加上上传功能过滤不严。哪个环节松，就从哪里进。
清理要花多长时间
小的改动几个小时能定位，复杂的要一两天。关键在能不能找到入口，找到就快。
清理完之后还会被挂吗
堵住入口就不会。没堵住的，隔几天又来一次，所以补漏洞比删文件更重要。
常斌偏要先把丑话讲前面：先隔离、再找入口，另外还有收尾补漏洞。直接删的往往要处理第二遍。
按顺序来，别乱
我的建议是把处理流程写成一张清单，出事的时候照着走。慌乱的时候，清单比经验管用。
带过的 1000 多名学员，反过来也帮我们把课件磨得更实。我们信服无限做网站安全这块时，会把应急流程提前给客户备一份。报需求之前，告诉我你的网站用的是什么建站方式。不同建站方式处理入口不一样，这点很关键，不同方式处理手法完全不同。