网站被攻击了怎么应急？先隔离再排查两小时动作

发现网站被攻击：首页被篡改，后台进不去，流量异常暴涨，头两个小时做什么、不做什么，直接决定损失大小。应急处理的目的只有一个：止住出血，别让事态扩大。

一、头十分钟：先隔离

关站隔离是**个动作：把后台入口临时关闭或限IP访问，把被篡改页面下线或跳转到静态声明页。如果攻击还在持续且影响访客，临时关站比硬撑好，关站是可逆的，数据被删是不可逆的。顺手截屏保存现状，后面取证要用。

二、接下来一小时：取证和定位

日志取证先行：导出服务器访问日志和后台登录日志，找攻击来源的IP、时间段和请求特征；查看文件修改时间，圈出被改动的文件；确认攻击类型，是注入篡改、暴力破解还是流量攻击。取证的目的是找到入口，入口不清楚，恢复上去还会被打进来。

三、恢复上线的顺序

清理被改文件，重置全部口令，做漏洞修复补上被利用的洞，然后先恢复静态页观察半天，再恢复动态功能和后台。每恢复一层观察一层，确认干净再放开下一层。后台的口子和扩展接口平时就要管好，之前写过一篇 target="_blank"，口子收得紧，应急时少一半麻烦。

四、两小时应急动作表

五、事后要补的三项制度

• 备份改成本地加异地双份，恢复演练排进日程
• 监控告警接上，文件篡改和登录异常要能主动通知到人
• 口令定期更换写进制度，交接、外包到期时权限同步收回

六、预防与应急的关系

应急动作做得再漂亮，也是防线失守后的补救。平时按五道防线把基础设防做完，攻击真来了也只是走一遍流程的事。判断攻击严不严重拿不准时，先隔离再评估，永远比先观察再动手安全。