发现网站被篡改，先别慌，按照 “紧急止损 → 排查清理 → 修复漏洞 → 恢复观察” 这四个步骤来系统处理，能最大程度减少损失。

🚨 第一步：紧急止损 (立即执行)

首要任务是“止损”，阻断攻击，防止事态扩大。

• 暂停网站访问：在服务器或主机控制面板中暂时关闭网站，或将其设置为 503 维护模式。这样可以防止恶意内容继续传播，也能保护访客安全。

• 隔离服务器：如果条件允许，可以暂时断开被黑服务器与内网其他系统的连接，防止攻击者“横向移动”，感染更多设备。

• 修改所有密码：立即修改所有相关密码，包括但不限于：网站后台管理员密码、FTP/SFTP密码、数据库密码、服务器（SSH/远程桌面）密码、域名管理平台密码。新密码请务必使用“大小写字母+数字+特殊符号”组合，且长度不少于16位。

• 备份当前数据：在进行任何清理操作之前，务必将被篡改的网站文件和数据库完整备份一份。这份“脏数据”备份对后续分析攻击原因有重要价值。

🔍 第二步：排查与清理 (找到并清除“病灶”)

在止损之后，需要找出攻击者是如何进来的，以及把“后门”藏在了哪里。

• 检查日志文件：查看Web服务器日志（如access.log）和系统登录日志（如auth.log），重点关注异常IP、非工作时间段的登录记录，以及可疑的URL请求路径。这是找到攻击入口的关键线索。

• 对比核心文件：用CMS官方原版安装包中的文件，与服务器上的文件进行逐一对比。重点关注以下目录和文件：

• 入口文件：如 index.php、admin.php。

• 配置文件：如 .htaccess、web.config。

• 核心目录：如 /apps/、/core/、/template/等。

• 上传目录：如 /static/upload/，这是后门文件的常见藏身处。

• 扫描恶意代码与后门：

• 在服务器上，可以通过find命令查找近期被修改的可疑文件。

• 在网页源码（右键“查看网页源代码”）中，搜索 display:none、iframe、eval(、base64_decode 等危险函数或恶意跳转代码。

• 数据库检查：检查数据库表中的内容字段（如文章、产品介绍），看是否被注入了隐藏链接或恶意iframe代码。

• 清除恶意内容：

• 如果有干净备份：这是最快、最彻底的方法。直接删除服务器上所有文件，然后用备份文件覆盖还原。

• 如果没有备份：手动删除所有已确认的恶意文件，并用官方原版文件覆盖被篡改过的文件。同时，清理数据库中被注入的恶意代码。

🛡️ 第三步：修复与加固 (堵上漏洞)

仅仅清除恶意代码是不够的，必须修复安全漏洞，否则攻击会卷土重来。

• 更新所有程序：将网站使用的CMS系统（如PbootCMS）、所有插件、所有主题都更新到最新版本。

• 删除无用组件：删除所有不再使用的插件和主题，它们可能成为未来新的攻击入口。

• 检查并修复代码漏洞：如果是定制开发的功能，重点排查和修复常见的SQL注入、XSS跨站脚本、文件上传等漏洞。

• 检查并清除未知账户：检查服务器和网站后台，是否存在你未知的管理员账号或系统用户，一经发现，立即删除。

• 部署Web应用防火墙(WAF)：安装并配置WAF（如云锁、安全狗、宝塔面板的防火墙等），可以拦截大量的自动化攻击。

📈 第四步：恢复与观察

在完成以上所有步骤后，就可以逐步恢复网站访问，并进行后续处理。

• 恢复访问并测试：重新开启网站服务，并全面测试所有页面和功能是否正常。

• 向搜索引擎申诉：如果你的网站被百度或Google标记为“危险网站”，需要登录对应的搜索资源平台（如百度搜索资源平台、Google Search Console），提交申诉，说明网站已被修复。通常审核需要1-3个工作日。

• 持续监控：在接下来的7天内，密切关注网站文件和访问日志，确保没有“后门”被重新激活。

• 建立长效机制：定期备份（尤其是内容更新后）、定期更新、定期安全扫描，将安全运维常态化。

💎 总结

处理网站被篡改，核心逻辑就是紧急止损 → 彻底清后门 → 修补漏洞 → 长期监控防护。切忌只做表面清理，否则后患无穷。

如果以上流程让你觉得操作起来有困难，或者网站数据至关重要，最稳妥的方式是立即联系你的网站建设公司或聘请专业的安全团队进行深度清理和系统加固