网站被挂马后的 4 小时：从止损到清理的实操顺序
一、第 1 小时：先隔离，别急着删
发现页面被插入跳转代码或搜索结果出现异常标题时，先做隔离：把域名解析临时指向维护页，或在前端加一层 503，避免继续把恶意内容送给用户和搜索引擎。同时立刻做整站快照（文件 + 数据库），这份快照是后面取证的依据，删了就说不清了。很多人的第一反应是登录后台删代码，结果把入侵痕迹一起删掉，后面还会再中一次。
二、第 2 小时：定位入口
按时间排序找最近被修改的文件，重点看这几类：根目录与上传目录里的 php 文件、被改过 .htaccess、模板文件里多出来的 script、以及 index.php 顶部被插入的一行 include。再看访问日志里 POST 到可疑文件的请求，通常能定位到上传点。常见入口是老旧编辑器、未打补丁的插件、以及权限过宽的上传目录。
三、第 3 小时：清理与加固
用干净备份覆盖被改文件，而不是逐个手工改——手工改容易漏。清理后做三件加固：上传目录禁止执行 PHP、后台与数据库改强密码并开启二次验证、把 CMS 与插件升到最新版。如果服务器上还跑着别的站，一并检查，同一台机器上的站点往往一起沦陷。
四、第 4 小时：复测与恢复收录
恢复访问前自查一遍：全站搜索可疑关键字（如 eval、base64_decode、陌生域名）、用不同浏览器与地区访问确认无跳转、检查 sitemap 是否被篡改。恢复后到搜索资源平台提交死链与安全申诉，通常 3 到 7 天能解除风险提示。最后补一条制度：每日自动备份 + 每周一次文件完整性比对，下次能在几小时内发现而不是几周。
