早上打开公司官网，发现首页被跳到一个博彩站，百度快照里全是乱七八糟的词——这种事一旦发生，老板第一反应通常是「赶紧删掉」，技术负责人则要面对「删了还会不会再来」。网站被挂马，处理不好就是反复被挂、被搜索引擎降权、被客户质疑。这篇就把处置顺序和安全测试能做的事讲清楚。
先别急着重装，搞清楚被挂的是什么
挂马不是一个单一问题，常见的有几种：
- 页面篡改：首页、栏目页被插入暗链、跳转脚本，用户访问时被带到站外。
- 后门文件：攻击者留一个 webshell，随时能再进来，删了页面也没用。
- 数据库注入：内容表被塞入大量垃圾链接，靠正常后台根本看不到。
- 服务器层劫持：Nginx、Apache 配置被改，或者定时任务里藏了下载脚本。
一个真实场景：某做设备租赁的企业网站，官网改版后三个月被挂马。技术只删了首页的跳转代码，结果一周后又复发。后来排查发现，攻击者是通过一个老旧的编辑器上传接口传了后门，改版时没清理历史目录。只处理表象，不处理入口，等于没处理。
所以第一步不是删，是留证和定位：先备份当前被篡改的文件、日志、数据库，再判断入口在哪。
处置顺序：隔离、取证、清理、加固
被挂马后的动作，建议按这个顺序走：
1. 隔离：先把站点下线或切到维护页，避免继续被搜索引擎抓取恶意内容，也避免用户中招。
2. 取证：保留访问日志、错误日志、被改文件的时间戳。这些是后面判断入口的依据。
3. 清理：删除后门、还原被改文件、清理数据库里的注入内容。注意不要用「覆盖式」还原把日志也覆盖掉。
4. 加固：改所有后台密码、数据库密码、服务器 SSH 密钥，关闭不用的上传接口和目录执行权限。
5. 复检：观察一到两周，确认没有二次复发。
避坑提醒：不要只改后台密码就完事。如果后门还在，改密码只是拖时间。另外，很多企业网站是外包做的，改版时交接不完整，历史目录、测试文件、备份文件都留在服务器上，这些都是常见入口。
安全测试到底能测出什么
很多人以为安全测试就是「扫一下漏洞」，其实对已经被挂马的站点，安全测试的价值在于找到入口和残留。
通常包括：
- 漏洞扫描：检查 SQL 注入、XSS、文件上传、弱口令等常见问题。
- 后门排查：比对文件哈希、查找异常 webshell、检查定时任务和启动项。
- 权限检查：目录权限、数据库账号权限、后台接口鉴权是否合理。
- 逻辑测试：比如预约小程序里，能不能绕过前端直接提交非法数据；后台管理系统里，普通账号能不能越权访问管理员接口。
这里要说明一点：安全测试不是「测一次就永久安全」。网站开发、小程序开发、App开发 只要有新功能上线，就可能引入新风险。比较务实的做法是上线前做一次，重大改版后再做一次。
企业网站日常怎么防，才不至于被动
与其等被挂马，不如把日常动作做扎实：
- 保持程序版本更新：CMS、框架、插件的老版本是重灾区。
- 后台入口收敛：改默认路径、加二次验证、限制登录 IP。
- 上传目录禁止执行脚本：这一条能挡掉相当一部分上传类后门。
- 定期备份且异地存放：备份要能还原，不能只放在同一台服务器上。
- 日志留存：出事时，没有日志基本等于盲查。
如果是企业网站，还可以考虑把静态资源和主站分离，降低被篡改后的影响面。
什么情况适合找 MIC Studio
不是所有情况都要找外部团队。如果只是页面被插了几行代码，自己能定位入口、能确认没有后门，那自己处理就行。
但下面几种情况，找专业团队会更省事：
- 反复被挂马，自己排查不出入口；
- 网站涉及用户数据、订单、支付，担心数据泄露；
- 准备做网站改版或小程序开发，想在上线前把安全测试做一遍；
- 后台管理系统权限复杂，想验证越权和逻辑漏洞。
MIC Studio 做网站开发、小程序开发、App开发 和脚本开发，也做网站安全测试和逆向测试。我们的做法通常是先定位问题、再给处置建议，不会一上来就让你重做整站。
结尾：三条能马上做的事
1. 今天就备份一次：把网站文件、数据库、日志各存一份到不同位置。
2. 检查上传目录和后台入口：确认上传目录不能执行脚本，后台没有默认弱口令。
3. 安排一次安全测试：尤其是刚改版或刚上线的企业网站，别等出事再补。
网站被挂马不可怕，可怕的是不知道入口在哪、处理完还会不会再来。把顺序排对，比急着删页面有用得多。