凌晨两点十七分，被篡我的改网手机屏幕亮起，是页办客户老周发来的截图。他的被篡企业官网首页被换成了一行刺眼的红字：“此站点已被伊朗黑客部队攻破”。底下还挂着一面黑色旗帜，改网代码里塞满了阿拉伯语留言。页办老周在电话里声音发颤：“这怎么办？被篡明天早上九点有个大客户要来看网站。”

被篡改网页这事，改网说白了就是页办你家大门的锁被人撬了，还在门板上喷了涂鸦。被篡攻击者未必真有本事进屋里搬东西，改网但门面砸了，页办生意也就黄了一半。被篡老周的改网情况不算最糟——数据没丢，数据库没动，页办只是首页文件被替换了。我一边远程连上他的服务器，一边告诉他：先别慌，按这三步走。

第一步，拔网线。别笑，这真是最有效的办法。我让老周立刻把服务器的外网访问断开，或者至少把网站服务停掉。很多人在发现被篡改后第一反应是去删那些恶意代码，但攻击者往往留了后门——你删了首页，他五分钟后又给你传一遍新的。断网等于把门关上，他再想进来得重新找路。老周照做了，网站暂时打不开，但至少那面黑旗不再展示给访客看了。

第二步，找“作案痕迹”。这活儿比想象中细碎。我让老周把服务器上的访问日志导出来，重点看最近24小时内的文件修改记录。果然，凌晨一点四十七分，有个叫“upload.php”的文件被修改过，时间精确到秒。再往前翻，发现这个文件早在三个月前就被上传过——那会儿老周刚换了个便宜的虚拟主机，后台密码用的是“admin123”。你看，漏洞往往不是被“攻破”的，是被“猜中”的。

第三步，才是修复和加固。把被篡改的首页文件从备份里恢复，改掉所有后台密码，关掉用不上的上传功能，给服务器装上基础防火墙。老周问我：“这就完了？”我说还没完，你得搞清楚他到底怎么进来的。查了一圈，发现是那台虚拟主机自带的FTP账号密码太弱，攻击者用暴力破解软件扫了不到十分钟就进去了。这就像你家里装了防盗门，但钥匙就插在锁孔上没拔下来。

老周那晚折腾到凌晨五点，网站恢复上线。大客户早上九点打开页面，一切正常。他后来跟我说，那晚上他抽了半包烟，但最让他后怕的不是网站被黑，而是自己压根不知道服务器密码还能被“猜”。这事之后，他给公司所有系统都换上了十六位随机密码，还买了台带自动备份的云主机。

其实被篡改网页的案例里，大部分都不是什么高端黑客干的。我见过最离谱的一次，是个做餐饮的小老板，网站被挂上了赌博广告，原因是他让外包公司做的网站，三年没更新过后台密码，连“admin”都没改。攻击者就是个脚本小子，用现成的工具扫描全网，逮到一个算一个。

所以真遇到这事，别慌也别急着骂人。先断网，再查日志，最后补漏洞。要是没备份，那就认栽，把网站重新搭一遍。但有一点得记住：被黑一次是运气差，被黑两次那就是懒了。密码别用生日，后台地址别用默认的“/admin”，文件上传功能能关就关。这些事花不了半小时，但能省掉你一整夜的烟。