网站被挂马那天，网站我正泡着咖啡准备改个按钮颜色。中毒打开后台，解决页面加载慢得像幻灯片，网站源代码里多了一长串加密的中毒JavaScript——指向一个俄语赌博网站。那一刻我意识到，解决安全不是网站技术问题，是中毒生存问题。

别慌。解决先断网，网站拔掉服务器网线或者关掉安全组端口。中毒这一步比什么都重要，解决攻击者可能还挂在后台，网站你每多等一分钟，中毒数据就多泄露一分。解决我见过有人先忙着删文件，结果攻击者顺着FTP又传了个后门进去，白忙活。

然后备份。整个网站目录打包，数据库导出一份SQL。注意，是备份“中毒版本”，不是清理后的。你需要保留现场，后面要分析攻击路径。把备份放在本地硬盘，别放同一台服务器上——有次我图省事，备份放同机，结果攻击者连备份一起删了，那叫一个酸爽。

接下来才是清理。用干净的环境扫描，别在中毒的机器上直接操作。查文件修改时间，最近两三天内被改动过的PHP、ASP、JSP文件，逐个打开看。重点看头部和尾部，攻击者最爱在文件末尾追加代码。再用命令查一下有没有可疑的定时任务——crontab -l，很多木马靠这个复活。

数据库也要查。我碰到过一次，不是文件被改，是数据库里所有文章标题后面被塞了隐藏链接。查text类型的字段，搜标签，搜base64_decode函数。别嫌麻烦，攻击者比你细心。