网站被黑的表现多种多样——首页被篡改挂上赌场广告、浏览器访问时直接跳转到灰色产业页面、后台管理员密码被修改、服务器CPU持续跑满，甚至网站直接被搜索引擎标记为“不安全”。很多站长第一反应是重启服务器或覆盖文件，但往往第二天又被反复入侵。真正的修复必须按步骤来，先隔离再排查，最后做安全加固，否则后门不除，所有操作都等于白做。
快速隔离与证据保留
确认网站被入侵后，第一件事不是立刻去改代码，而是切断外部继续利用的路径。如果使用的是云服务器或虚拟主机，可以先通过安全组或主机面板针对外网只保留你当前操作的IP，把其余访问全部拦截，避免攻击者还在线上持续操作。对于共享主机，立刻联系服务商临时冻结站点或者切换到只读模式。
隔离的同时需要保留一份“脏数据”现场。很多人直接一键重装系统或者覆盖文件，这会把入侵证据和新写入的马全部抹掉，但也会让你失去分析入侵源头的机会。正确的做法是，把整个网站目录打包，把数据库导出，并把Web服务器访问日志、系统安全日志、最近几天的计划任务列表一并保存下来。这些信息后续会帮你看清楚对方是从哪个上传点进来的，是插件漏洞、弱口令还是第三方组件问题。
此外，如果网站用了CDN或WAF，登录对应控制台调取近期的攻击日志和异常请求，锁定异常IP和UA特征。这些数据不但有助于溯源，还能在后续加固时直接拉黑恶意来源。切记不要直接删除网站根目录，而是重命名文件夹后再建立一个干净的目录，保证原始文件完整存在。
清理后门与恶意代码
切掉访问后就要开始翻查文件。攻击者通常会留下多个后门以保证自己能再次进入，常见手段包括一句话木马、图片伪装马、篡改后的定时任务、被修改的主题或插件文件。先用命令行快速扫描最近几天被修改过的文件，比如在Linux下使用find /www/wwwroot -type f -mtime -3，可以列出近三天变动过的所有文件，第一时间锁定可疑的PHP、ASPX、JSP文件。
代码层面的判断需要一些经验。典型的一句话木马在PHP中常写成<?php eval($_POST['cmd']);?>，有的会进行变形，例如把字符串拼接、base64解码等方式绕过关键词检测。对于这类变种，可以借助开源Web后门扫描工具如D盾、河马查杀，先把整个目录扫一遍，把高度可疑的文件直接重命名隔离，再人工逐一确认。注意图片文件夹中也可能藏有伪装的PHP文件，即扩展名是.jpg但内部包含PHP代码，这种情况下需要在Web服务器配置中禁止图片目录执行脚本权限。
<script、eval、document.write等特征字符串，清理掉异常记录。清理完毕后立即更改所有密码，包括数据库连接密码、FTP密码、服务器管理员密码以及第三方服务接口秘钥。修补漏洞并加固防护
清理干净后门只是“灭火”，补上漏洞才能防止再被点燃。首先检查网站所有运行的程序和组件版本，主流的CMS如WordPress、织梦或帝国CMS，如果核心版本或插件版本滞后太多，漏洞库中早已公开的远程代码执行漏洞就是最直接的突破口。把程序升级到最新稳定版，同时删除不再使用的测试文件、后台管理目录的默认名称也需要修改，不要继续使用/admin、/manage这类容易被猜中的路径。
服务器层面的加固同样关键。检查是否还在用FTP明文传输密码，改用SFTP或SSH密钥登录；Web目录权限严格分配，可写目录与可执行目录必须分离，例如upload目录只保留写入和读取，不允许执行脚本。如果是IIS或Apache环境，通过配置文件禁止上传目录中的脚本执行能力，这能阻断大部分文件上传导致的代码执行。
长期维护方面，可以考虑增加一套Web应用防火墙，既可以部署在服务器前端的开源方案如ModSecurity，也可以使用服务商提供的云WAF。另外，开启访问日志的实时监控和异常告警，一旦检测到某个IP短时间内频繁请求后台地址或者尝试注入参数，第一时间自动封禁。定期备份网站文件和数据库，做到异地存储，这样即使再次遭遇攻击，也能在半小时内恢复到正常版本，把业务影响降到最低。
最后，网站被黑后的复盘不可跳过。把之前保留的日志和入侵入口整理成文档，明确是哪个环节出了问题，是人为的弱口令，还是某个第三方插件存在未披露的漏洞。把这些教训落到开发规范里，往后每一次上线新功能、安装新插件，都先做一次安全评估，才能真正告别反复被黑的循环。