客户半夜发现网站跳转到赌博页面，第一反应是把那段代码删掉。删完之后两小时又跳了。因为删掉的只是表现，木马本体还在，攻击者甚至可能还留着后门账号。
先取证，再动手
正确顺序是：先做一次完整快照或者打包备份，包括网站文件、数据库以及日志。这一步是为了后面分析，也是为了万一清理失败能回到原始状态。急着删就没有线索了。然后才是隔离。把域名解析指到一个临时页面，或者直接停站，避免继续伤害访客和搜索引擎。报价里含什么？
别让带毒的页面挂着，搜索引擎一旦标记，恢复排名要很久。木马不会自己长出来，一定有入口。常见的是：后台弱密码被爆破跟插件或框架有已知漏洞和上传功能没做限制与服务器端口对公网开放被攻破。这四条占大多数。找入口要看日志。
找入口比清文件重要
访问日志里找异常请求，尤其是POST到不常见路径、大量404以及可疑的User-Agent。留个后手。登录日志看有没有陌生IP反复尝试。这些迹象能指向具体的入口。还有个更彻底的办法：把网站文件和官方原版做比对。多出来的文件、被改过的文件，一比对就出来。
这个方法慢但可靠，适合清理不彻底、反复中招的情况。清理完怎么算干净？至少要满足三条：比对无异常文件和账号密码全部重置与数据库里没有残留的恶意代码（文章正文以及模板配置都可能被植入）。三条都过了再恢复访问。
确认干净要有标准
清完还要堵入口，否则很快会再来一次。补丁打上以及后台地址改掉跟上传限制加上和管理端口限制来源IP。这几步不做，清理等于给攻击者腾地方。补个实在话：挂马处置的顺序是先留证据以及再隔离跟再找入口和末尾清理和加固。反了顺序，就得反复返工。
网站被挂马的常见疑问
网站被挂马第一步做什么
先完整备份网站文件、数据库和日志保留证据，再做隔离，避免破坏分析线索。
怎么找入侵入口
查访问日志与登录日志的异常请求，并把网站文件与官方原版比对找出多余和被改文件。
清理干净的标准是什么
无异常文件、账号密码全部重置跟数据库中无恶意代码残留，三项同时满足。
总结：挂马处置讲顺序。先取证与再隔离以及找入口跟清理加固，才不会反复中招。