现象

访问网站发现首页内容变为乱码、色情图片或攻击者留言；后台登录密码被修改；服务器 CPU 或带宽占用率异常飙升；收到安全软件或邮箱的入侵告警。

原因

常见原因包括：Web 应用存在 SQL 注入或文件上传漏洞；弱口令被暴力破解；服务器未安装必要的安全补丁；第三方组件（如 CMS 插件）存在已知 0day 漏洞；FTP 或 SSH 端口暴露且无防爆破策略。

先自查（3 分钟）

首先确认当前页面是静态文件被改还是动态程序被改。登录服务器，进入网站根目录，检查 index.html 或 index.php 的修改时间。如果是静态文件，直接替换即可；如果是动态程序，需检查数据库是否被插入恶意数据。同时，检查服务器是否有陌生的进程在运行，特别是占用 CPU 极高的进程。

解决步骤

第一步：立即备份当前被篡改的数据，以便后续取证。不要直接删除，先打包保存。

tar -czvf /tmp/hacked_site_backup.tar.gz /var/www/html/

第二步：从备份中恢复数据。假设你的备份存储在 /backup/20231001_site.tar.gz，先停止 Web 服务，避免写入冲突。

systemctl stop nginx

第三步：解压备份文件到网站目录，覆盖原有文件。注意保留网站配置文件（如 nginx.conf 或 php.ini），只恢复代码和数据。

tar -xzvf /backup/20231001_site.tar.gz -C /var/www/html/

第四步：清理缓存。如果使用了 Nginx 或 Apache，清理临时缓存文件；如果使用了 Redis 或 Memcached，清空缓存数据，防止旧数据残留。

redis-cli FLUSHALL

第五步：重启 Web 服务，使恢复后的代码生效。

systemctl start nginx

第六步：查找入侵入口。查看 Nginx 访问日志，筛选 404 或 500 状态码的请求，重点关注 .php、.jpg、.gif 等可疑后缀的请求，以及带有长参数或特殊字符的 URL。

grep -E "(\.php|\.jpg|\.gif)" /var/log/nginx/access.log | grep -v "200" | tail -n 50

第七步：封堵漏洞。根据日志分析，如果是文件上传漏洞，检查上传目录是否可执行 PHP；如果是 SQL 注入，更新代码使用预处理语句。修改所有后台账号密码，包括 FTP、数据库、SSH 密码。

验证

访问网站首页，确认内容恢复正常。登录后台，检查用户表是否被插入新账号。使用浏览器开发者工具查看网络请求，确认没有异常的 AJAX 请求指向外部 IP。监控服务器 CPU 和内存，确保稳定运行 10 分钟无异常波动。

预防

定期更新 CMS 及插件到最新版本；开启防火墙，限制后台登录 IP；将上传目录设置为不可执行 PHP；定期备份数据库和代码；使用强密码策略，并启用双因素认证（2FA）；安装轻量级安全监控工具，实时告警异常登录。

在奇异互动如何最快处理

在奇异互动会员中心，进入「云服务器」详情页，使用「VNC 控制台」直接登录服务器进行上述操作，无需等待 SSH 连接。如果需要快速恢复，可在「云服务器」详情页点击「重装系统」，选择包含备份数据的镜像（若已制作自定义镜像），或在新系统上挂载原数据盘恢复数据。若无法自行定位漏洞，提交「工单」，关联具体产品，附上被篡改页面的截图、服务器 IP 以及最近 24 小时的 Nginx 访问日志片段，工程师将协助分析。