一次官网被篡改的完整处置记录

一次官网被篡改的完整处置记录

早上八点客户来电，说官网打开跳到一个陌生页面。远程看了一眼，首页文件被追加了一段混淆脚本，只在手机端触发，电脑端正常，所以之前一直没人发现。

第一步是隔离。先把域名解析临时切到维护页，阻断访客进入被污染环境，同时保留原始文件做取证。不要急着删文件，删了以后很难判断入侵路径。

第二步是定位入口。查访问日志，找异常提交请求与非工作时间的登录记录；对比文件修改时间，锁定被改动的范围。这次问题出在一个老插件的上传接口，权限校验缺失，被批量扫描到。

第三步是清理。全站文件做完整性比对，可疑文件逐个核查；数据库里的内容型字段也要查，很多篡改把脚本藏在文章内容里。清理完改全部账号密码，密钥轮换。

第四步是加固。升级或删除该插件，上传目录禁止执行脚本，后台登录加二次验证与失败锁定，部署文件监控，核心文件改动即告警。

第五步是恢复与观察。清理验证通过后切回原解析，提交搜索引擎快速检测，连续观察七天日志与告警。这次之后客户加了每日快照与周度巡检，同类问题再没出现过。

写在最后

以上做法来自我们实际项目中的复盘，具体执行需结合企业自身的业务与资源情况调整。如需针对性的方案，可通过联系我们页面的表单提交需求，工作日四小时内回复。