网站被攻击了怎么恢复正常？从恢复到加固的完整步骤

📌 先看结论

核心结论：网站被攻击后的正确顺序是【判断影响→备份现场→清理恢复→验证→加固上线】。有没有可用的备份，直接决定恢复时间：有备份 1-2 小时恢复，没备份可能要重做整站。所以日常把网站代码、数据库、图片存到对象存储（OSS）+ 自动备份，是最值的一笔投入。

先判断影响范围

• 看首页/核心页是否被篡改、被植入黑链或跳转代码（右键查看源码，搜 iframe、eval、base64 等特征）。
• 查数据库是否被删改、是否被拖库（日志中有异常导出、表被 drop）。
• 看服务器是否被种了挖矿/后门进程，CPU 是否异常飙高。
• 记录首次异常时间：对照 Web 日志与控制台登录记录。

从备份恢复（有备份的路径）

1. 登录云控制台，用攻击前的快照回滚系统盘（ECS 快照功能）。
2. 数据库用攻击前的自动备份恢复（RDS/自建库的 binlog+备份）。
3. 网站静态文件从 OSS/对象存储备份桶恢复，覆盖被篡改文件。
4. 恢复后先别上线：全盘扫描一遍，确认没有残留后门与计划任务。

没备份的应急路径

1. 先停止对外服务，避免攻击面继续扩大与数据进一步损坏。
2. 保留被篡改页面与日志（取证用），复制到本地。
3. 代码如果本地/Git 有副本，直接重装系统+重建环境+重新部署代码，比清理残留更干净。
4. 数据库无备份时，尝试从日志/搜索引擎快照抢救页面内容；同时把这次经历记下来：没有备份的网站被攻击=可能全丢。

重新上线前 4 项必查

• 安全组/防火墙只开放必要端口，关闭管理后台外网直连。
• 修改所有密码（面板、数据库、FTP、后台），换成强密码+双因素。
• 更新程序到最新版本，删除不再用的插件/组件（很多攻击来自过时组件）。
• 上线后开启云监控与网站日志，观察 24 小时无异常再算真正恢复。

应急成本参考

🔗 延伸阅读：更多选型指南

💡 官方价格参考

❓ 常见问题