商洛城区一家做建材的客户凌晨给我打电话，说官网首页变成了花花绿绿的色块，客户打不开。他第一句话是：你帮我删掉那个东西。删后门之前先别动手，你删掉的可能是线索，一动手就打草惊蛇。
挂马之后正确的三步
顺序是：先断、再留、后清。
- 先断流量，站点暂时切到维护页，别让搜索机器和客户接着踩
- 保留现场，日志、备份、被改过的文件原样留一份，别覆盖
- 再清后门，逐文件比对找出被加进去的那几段，改回去
第二步最容易被跳。多数人一发现就重装，结果人家已经把你站上留的手机号拿走了，你还蒙在鼓里。不保留现场，你就永远不知道自己丢过什么。
商洛这类站常见的三个入口
头一个是老插件。早年买的建站模板、挂的统计代码，源头早就停了，漏洞没人修，能挂上去的就是它。
第二类是弱密码后台。商州一家做家政的，后台密码是六位连号，被扫库扫出来的。这类我们见过太多，不点破具体名字，只说一句：密码不换，重装一百次也白搭。弱密码不是习惯问题，是给人家留了一扇没插门的门。
第三类是上传接口没设死。图片上传没限制文件类型，人家传个可执行的东西上去，第二天你的服务器就成了人家的。
清完之后该做什么
清完不算完。改所有密码、关掉用不上的后台入口、把上传能收的类型收窄、备份重新跑一轮，四件事一起做。
这行干了十七年，2009 年入的门，人在郑州运营中心，十来个人，河南和华中是服务范围，商洛客户远程清，必要时从郑州发车。只有常斌的团队会反复验：被黑过一次的公司，真正该买的是预案，不是再买一堵墙。预案这事不贵，写清楚三步谁干、多少分钟到位，比事后抓瞎强。
安防护常问的三个问题
被挂了多久能恢复？
看现场。轻微改文件的一两天，牵扯库的要三五天，慢的是域名解析和信誉，那要等搜索机器更新。
要不要直接重装系统？
别急着重装。先保留现场取证，确认丢了什么再动手，不然你不知道下一次从哪个口子进来。
商洛本地能上门处理吗？
基本不用。这类事远程就能清，我们在郑州，到商洛两百公里，确需现场的话一早就到。
收个尾，回到开头
商洛企业站被挂马，先断流量、再保现场、后清后门，收尾把密码、入口、上传、备份四件事补上。信服无限商洛按双周巡检盯漏洞，代码给全量，1 年维护跟着一起交。你把站点被改过那个文件的路径发我，我看看它是从哪个口子进来的，顺手把另外三个口子一起收了。