企业网站被DDoS攻击或挂马怎么紧急处理？应急响应和长期防护方案

企业网站被攻击不是"会不会"的问题，而是"什么时候"的问题。根据国内网络安全机构的统计，中小企业网站平均每年遭遇3-5次不同程度的攻击。很多企业在网站被打挂之后才慌忙应对，结果处理不当导致数据丢失或者二次被入侵。这篇文章把常见的攻击类型和对应的处理方案讲清楚，建议企业网站管理者收藏备用。

先识别攻击类型：你的网站到底怎么了

网站出问题的表现可能很相似——打不开、打开很慢、页面异常——但背后的原因完全不同。判断错误会导致处理方向跑偏。

DDoS攻击

表现：网站突然完全打不开，或者加载极慢。服务器的带宽或CPU被占满，但网站代码和数据库都没有被改动。攻击一停，网站就恢复正常。

本质：攻击者用大量虚假请求淹没你的服务器，消耗完带宽和计算资源，正常用户就访问不了了。这不是"黑客入侵"，攻击者并没有进入你的系统，只是把路堵死了。

CC攻击

表现：和DDoS类似，网站变慢或无法访问。区别是CC攻击通常针对动态页面（比如搜索功能、登录页面），发起的请求看起来和正常用户差不多，很难简单区分。

本质：大量模拟正常用户行为的请求，消耗服务器的CPU和数据库连接资源。比DDoS更难防御，因为每个请求看起来都是"合法"的。

网站被挂马

表现：网站能正常打开，但页面上出现了不属于你的内容——赌博广告、色情链接、非法推广。或者搜索引擎收录的页面标题变成了奇怪的内容。有时候在电脑上看不出来，但手机访问时会跳转到其他网站。

本质：攻击者通过漏洞获取了网站的文件修改权限，在你的页面代码里植入了恶意代码。这是真正的"入侵"，比DDoS严重得多。

数据库被入侵

表现：网站数据异常——用户信息被篡改、文章内容被替换、后台管理员密码被改。严重时整个数据库被删除或加密勒索。

本质：攻击者通过SQL注入或弱密码获取了数据库的读写权限。这是最严重的攻击类型，可能造成不可逆的数据损失。

DDoS/CC攻击的应急处理

第一步：确认是攻击，不是自己的问题

先排除其他可能性。检查服务器的CPU、内存、硬盘是否正常（可能是程序死循环或内存泄漏），检查数据库是否卡死（慢查询或锁表），检查是否真有大量异常流量。

登录服务器或宝塔面板，查看实时流量监控。如果带宽被打满，或者并发连接数异常高（比如平时100，现在10万），基本可以确认是攻击。

第二步：联系主机商/云服务商

如果用的是云服务器（阿里云、腾讯云等），第一时间提工单或打电话给客服，告诉他们你在遭受DDoS攻击。云服务商通常有基础的DDoS防护能力（5-10Gbps的清洗），但如果攻击流量超过这个阈值，你的IP会被"黑洞"（暂时屏蔽所有流量）。

如果IP被黑洞了，不要着急，这是保护措施。黑洞通常持续2-24小时自动解除。期间可以做下面的第三步。

第三步：开启高防服务

如果攻击频繁或流量大，需要用专业的高防服务。方案有几种：

CDN高防：把域名解析到CDN（比如百度云加速、腾讯云CDN），CDN节点分布在全国各地，能分散攻击流量。基础防护免费，高级防护按流量付费。

高防IP：购买一个有DDoS清洗能力的IP地址，把流量先导到高防IP，清洗后再回源到你的真实服务器。价格从几百到几万每月不等，取决于防护级别。

切换IP：如果攻击是针对特定IP的，可以更换服务器IP地址。但要注意，新IP不要泄露，域名解析走CDN隐藏源站IP。

第四步：CC攻击的针对性处理

CC攻击用高防清洗效果有限，因为请求看起来是正常的。更有效的方法是在应用层做防护：

开启验证码。对被攻击的页面加上验证码或JavaScript挑战，正常用户能通过，自动化攻击工具不行。

限流限频。对单个IP的请求频率做限制，比如每秒最多5次请求，超过就封IP。Nginx可以用limit_req模块实现。

封禁异常IP段。分析访问日志，找到攻击来源的IP段，在防火墙层面封禁。

关闭被攻击的功能。如果攻击集中在搜索功能或某个API接口，临时关闭该功能，优先保证网站其他部分可用。

网站被挂马的应急处理

被挂马比DDoS严重得多，因为攻击者已经进入了你的系统。处理要更谨慎。

第一步：保存证据

不要急着清理恶意代码。先截图保存被篡改的页面，导出服务器的访问日志和错误日志。如果损失严重需要报警，这些是证据。

第二步：隔离和备份

如果条件允许，先把网站暂时下线（Nginx返回维护页面），防止恶意代码继续传播或被搜索引擎收录。

对当前被入侵的状态做一个完整备份（文件+数据库），保存到别的地方。这个备份不是用来恢复的，是用来分析攻击路径的。

第三步：查找和清理恶意代码

恶意代码通常藏在这些地方：

网站根目录下多出来的PHP文件。用find命令查找最近被修改的文件：find /www/wwwroot/yoursite -name "*.php" -mtime -7，找到最近7天内被修改的PHP文件。

index.php或header/footer模板被注入了代码。通常是在文件开头或结尾加了一行经过混淆的eval代码或base64编码的内容。

.htaccess或nginx配置被修改。检查是否被加了跳转规则，把特定来源（比如百度搜索来的流量）跳转到恶意网站。

数据库里的内容字段被注入了JS代码。用SQL查询检查文章内容里是否有<script>标签或异常的链接。

JavaScript文件被篡改。检查网站引用的JS文件是否被追加了恶意代码。

清理方法：如果有干净的备份，最安全的方式是从备份恢复文件（但不要恢复数据库中被注入的内容，那个需要手动清理）。如果没有备份，需要逐个文件对比和清理。

第四步：找到入侵入口

这一步很关键，不找到入口，清理完还会被再次入侵。

检查服务器日志，找到攻击者第一次访问恶意文件的时间点，然后往前查，看他是通过什么途径上传或创建了这个文件。常见的入侵途径包括：

后台弱密码。攻击者暴力破解了后台登录密码，然后通过后台的文件上传功能上传了木马。

文件上传漏洞。网站的图片上传或文件上传功能没有做严格的类型校验，攻击者上传了.php后缀的木马文件。

SQL注入漏洞。通过表单或URL参数注入SQL语句，获取了管理员密码或直接写入文件。

过期的CMS或插件漏洞。使用的内容管理系统版本太老，已知漏洞没有修补。

服务器层面的漏洞。SSH弱密码、FTP弱密码、面板（宝塔等）版本过低。

第五步：修复漏洞

根据找到的入侵入口，针对性修复。

修改所有密码：后台管理员密码、数据库密码、SSH密码、FTP密码、面板密码。全部改成强密码（12位以上，包含大小写字母、数字和特殊字符）。

修补代码漏洞：文件上传加白名单验证（只允许图片格式），所有数据库查询使用参数化查询防止SQL注入，用户输入做HTML实体编码防止XSS。

升级系统和软件：CMS升级到最新版本，PHP升级到安全版本，服务器操作系统打补丁，面板升级。

第六步：搜索引擎恢复

如果被挂马的内容已经被百度收录了，需要到百度搜索资源平台提交"快照删除"申请，清理搜索结果里的恶意内容。同时提交sitemap让搜索引擎重新爬取干净的页面。

如果网站被百度标记为"危险网站"（搜索结果里有红色警告），清理完恶意代码后在搜索资源平台提交"申诉"，通常1-3个工作日可以解除。

长期安全防护方案

WAF（Web应用防火墙）

WAF是最有效的防护工具，能拦截SQL注入、XSS攻击、恶意文件上传等常见Web攻击。云WAF（比如阿里云WAF、腾讯云WAF）不需要在服务器上部署任何东西，只需要把域名解析到WAF的地址即可。价格从几百到几千每月。

如果预算有限，可以用免费的开源WAF方案，比如ModSecurity（Nginx模块）或者宝塔面板自带的Nginx防火墙插件。

定期备份

最重要的安全措施不是防御，而是备份。每天自动备份一次数据库和网站文件，至少保留最近30天的备份。备份存储在不同的服务器或云存储上（不要和网站放在同一台服务器）。被入侵后有备份就能快速恢复，没备份可能什么都救不回来。

文件监控

部署文件完整性监控，当网站文件被修改时自动报警。Linux下可以用inotifywait或AIDE实现，宝塔面板有文件篡改监控插件。第一时间发现异常比事后补救有效得多。

最小权限原则

网站目录权限设为755（目录）和644（文件），上传目录禁止执行PHP。数据库用户只给必要的权限（SELECT、INSERT、UPDATE、DELETE），不要给DROP和FILE权限。PHP关闭危险函数（exec、system、passthru等）。

安全扫描

每月用安全扫描工具（AWVS、Nessus或免费的OWASP ZAP）对网站做一次漏洞扫描。发现漏洞及时修复，不要拖延。

广州万户网络科技在交付网站项目时，会为客户做基础的安全加固——包括文件权限配置、上传校验、SQL注入防护、后台地址隐藏和默认密码修改，确保网站上线时的安全基线达标。

遇到攻击时的心态和决策

最后说几句非技术的建议。

不要付赎金。如果遇到勒索型攻击（删库后要钱），付了钱大概率也拿不回数据，还会被标记为"好欺负的目标"，下次继续勒索。

不要慌。DDoS打完就没事了，被挂马只要有备份就能恢复。网站瘫痪几小时虽然难受，但不是世界末日。冷静分析、系统处理，比手忙脚乱地瞎操作效果好得多。

要有预案。在没出事的时候就做好应急预案：技术负责人的联系方式、服务器商的客服电话、备份在哪里怎么恢复、域名DNS在哪里管理。紧急情况下能省很多时间。

要复盘。每次安全事件之后都做复盘，分析攻击路径，修补漏洞，完善防护措施。吃一堑长一智，把每次攻击变成安全水平提升的机会。