先断网，别让损失继续扩大
成都武侯区做火锅食材供应的蜀味源老板老周，去年三月半夜收到客户微信：点开官网跳转到赌博页面。他第一反应是关服务器。这一步做对了。网站被黑后最忌讳继续运行，攻击者会借你的服务器当跳板继续打别人。先把站点从公网断开，保留现场，别急着删文件，删了就难溯源。
找后门比清表面更重要
踩过坑的人都知道，删掉首页被篡改的代码没用。黑客早留了后门。老周找我们时，服务器里藏着三个webshell，命名伪装成tmp_log.dat。我们用命令行挨个比对系统文件哈希，又查了最近7天被修改的php文件，才把后门拔干净。光清表面，三天后网站又挂马，二次损失接近4000元。
密码和权限必须重做
说白了，八成入侵来自弱口令。老周原来后台密码是chengdu123，FTP也是同一个。我们给他上了16位随机密码，数据库账户和网站账户拆开，普通上传目录禁止执行脚本。改完当天又拦下11次爆破尝试。服务器SSH端口从22改成五位数高位端口，日志里那种满屏的扫描直接少了一大半。
事后防护花小钱省大钱
修复加上半年防护，老周一共花了1200元。他之前问过一家机构，开口要价8000元做全盘重做。别被忽悠了。常见企业站被黑，清理加加固正常在1000到2000元区间。我们给蜀味源装了文件监控和每日自动备份，备份保留30天，出问题能回滚到前一天。上线三个月，再没出过事。
响应速度决定损失大小
我们统计过成都本地37家中小客户，从发现异常到找人处理平均拖了72小时。这期间被挂的违规页面会被搜索引擎标记为危险网站，流量掉一半都算轻的。发现早、断网快，修复成本能压在1500元以内；拖过三天，往往要连域名信誉一起救，花费翻三倍。所以老板自己懂点基础判断，比什么都强。
平时该盯哪几个点
成都员工在公共网络登后台的风险比想象高。建议老板每月花十分钟看一眼访问日志里的异常国家IP，给后台加个登录验证码，核心数据每周异地备一份。网站安全不是一次性工程，是细水长流。把这几件小事钉死，被黑概率能降七成以上。
找对人比找便宜重要
成都修网站的小工作室不少，但真出事能半夜起来救火的没几家。我们团队在武侯和高新都驻了人，承诺两小时响应。老周那次就是晚上11点联系上，凌晨一点站点就先稳住了。选服务别只看报价，问清楚出问题谁在岗、多久到。网站是24小时营业的门店，半夜塌了没人管，损失是按分钟计的。