2024年底，日照一家做外贸的企业网站被黑：首页被篡改，数据库被加密（勒索病毒），网站彻底瘫痪。企业老板第一反应是"赶紧把网站恢复上线"，技术同事直接用了"最老的一份备份"恢复——结果发现那份备份是3个月前的，丢掉了3个月的订单数据。错误操作比攻击本身更可怕：被黑后的恢复，顺序错了，损失翻倍。这篇技术文章，讲清楚网站被黑后的完整恢复流程。
阶段一：止损——先"关门"，再"处理"
发现被黑后的第一动作不是"恢复"，是"止损"：一，隔离服务器（云控制台安全组封禁所有入站流量，或拔网线），防止攻击者继续操作；二，改密码（服务器、数据库、FTP、后台所有密码全部修改，防止攻击者用原密码再次进入）；三，暂停对外服务（网站挂维护页，避免恶意内容继续传播、避免客户投诉）。止损原则：宁可业务停1小时，不可数据再丢一分。日照这家外贸企业，技术人员第一件事就是封了安全组，攻击者再没进来过。
阶段二：取证——"留证据"再"动手"
清理前先取证（为溯源和法律追责留材料）：一，备份现场（把被黑的服务器做一次完整快照/镜像，作为"证据副本"）；二，记录日志（保存攻击前后的日志：访问日志、错误日志、登录日志）；三，截图留证（被篡改页面、勒索信、异常进程截图）。取证不是"走形式"：一是防止"越清理越乱"（清理错了还能从证据副本还原）；二是必要时报案（公安机关网安部门需要证据）。日照这家外贸企业取证后，发现攻击来源是境外IP，报了案，警方立案调查。
阶段三：清理——把"马"和"后门"挖干净
清理要"彻底"，别"只清表面"：一，全盘扫描（安全软件：安全狗、D盾、云锁，扫webshell木马）；二，查可疑文件（重点目录：上传目录、模板目录、临时目录，找伪装文件：图片后缀的php文件）；三，查后门（计划任务、开机启动项、可疑账号、数据库里的恶意存储过程）；四，查数据库（恶意数据、注入留下的后门表）。清理原则：宁可多删，不可漏留——漏一个后门，黑客随时"二进宫"。日照这家外贸企业清理时发现3个webshell，全部删除。
阶段四：恢复——用"干净备份"，验证后上线
恢复的要点：一，选"干净的备份"（攻击时间点之前的备份，别用被黑期间的备份）；二，恢复前先"杀毒"（在干净环境里恢复备份后，先扫描确认无病毒，再部署）；三，验证再上线（在测试环境完整验证：数据完整、功能正常、无后门，才切回生产）；四，数据完整性检查（数据库恢复后，抽查数据：订单、客户、文章是否完整）。日照这家外贸企业，用攻击前2天的自动快照恢复（他们的云服务器有每日快照），数据完整，半天后网站重新上线。
阶段五：加固——别让历史重演
恢复上线不是结束，是"加固"的开始：一，堵漏洞（查明攻击路径：弱口令？漏洞？钓鱼？针对性修复）；二，升级补丁（系统、CMS、插件全部更新）；三，装防护（WAF防火墙、云安全中心、入侵检测）；四，改策略（强密码+密钥登录、最小化端口、权限收紧）；五，备份优化（每日自动备份+异地保存+每月恢复演练）。日照这家外贸企业加固后，再没被攻破过，安全日志里还记录了3次被拦截的攻击尝试。
给技术团队的建议
恢复流程的"黄金口诀"：先止损（封流量、改密码）、再取证（留证据）、后清理（挖干净）、慎恢复（用干净备份+验证）、必加固（堵漏洞+防复发）。另外两条：一，别用"最老备份"凑合（丢数据比停业务更痛）；二，日常备份要"自动化+可验证"（每月做一次恢复演练，确保备份真的能用）。网站被黑不可怕，可怕的是恢复过程"二次受伤"——按流程走，损失能降到最低。