TG咨询先判断攻击类型，再决定网站被攻击应急处理方案
发现首页被篡改、登录接口异常、访问速度突然下降或服务器资源持续飙高时，第一步不是立即删除文件，而是确认影响范围。网站被攻击应急处理通常要同时关注业务可用性、证据保全和后续恢复，四种方案并不能互相完全替代。
可以先查看反向代理访问日志、主机登录记录、进程和网络连接情况。若只有少量恶意请求，优先采用边缘拦截；若网站文件已被修改，应考虑隔离和回滚；若带宽或连接数已经耗尽，则要尽快引入上游清洗或流量分流。
| 方案 | 主要适用条件 | 优点 | 主要限制 |
|---|---|---|---|
| WAF或边缘拦截 | 恶意请求特征较明显，源站仍可登录 | 见效较快，对业务改动小 | 难以处理已入侵主机或大规模流量 |
| 主机隔离与证据保全 | 出现异常进程、后门、权限提升迹象 | 能控制扩散，利于调查 | 可能造成业务中断 |
| 备份回滚与干净重建 | 网页文件、程序或数据库被篡改 | 恢复路径清晰，适合消除持久化风险 | 备份不完整或过旧时效果有限 |
| 抗DDoS与流量分流 | 带宽、连接数或计算资源被大量消耗 | 适合缓解大流量攻击 | 需要提前准备解析、证书和源站访问策略 |
方案一：WAF拦截，适合攻击请求仍可识别
当攻击表现为重复访问某个登录、搜索或接口路径，且源站CPU、内存和带宽尚未耗尽时，WAF或CDN边缘规则通常是网站被攻击应急处理的首选。它可以按路径、请求方法、IP信誉、访问频率或明显的恶意特征进行限制。
- 保留当前访问日志和安全告警，记录攻击开始时间、受影响路径及错误状态码。
- 先启用临时规则，例如限制异常频率、拦截明显不需要的请求方法，避免直接封禁大范围地址段。
- 观察正常用户登录、下单、内容发布等关键流程，确认规则没有误伤。
- 攻击减弱后，把临时规则转换为有说明、负责人和复核日期的正式策略。
该方案恢复速度通常较快，但不能替代主机调查。若攻击者已经取得服务器权限，仅拦截请求可能留下后门。
方案二：主机隔离，适合怀疑服务器已被入侵
如果发现陌生管理员账号、异常定时任务、未知进程，或Apache、Nginx配置被擅自修改，应优先采用隔离方案。网站被攻击应急处理的重点此时从“保持在线”转为“阻止继续扩散并保存证据”。
- 由授权人员确认受影响主机、业务负责人和隔离时间，避免误断生产依赖。
- 通过安全组、交换网络或主机防火墙限制外部访问；保留必要的管理通道，并限制来源范围。
- 保存系统日志、Web访问日志、应用日志、进程信息和文件时间戳，避免反复重启覆盖线索。
- 在独立环境检查凭据、密钥、数据库账号和部署权限，必要时执行轮换。
- 使用干净镜像重建主机，再逐项恢复业务，不要把可疑程序目录直接复制回生产环境。
隔离会带来中断，适用于安全风险高于短时可用性损失的情况。若无法判断入侵范围，不宜只删除一个可疑文件后立即恢复上线。
方案三：备份回滚，适合文件或数据库被篡改
当网站出现首页替换、商品内容异常、文章被批量修改等现象，而备份经过验证且攻击入口已经关闭时，回滚比逐个手工修复更可靠。这里的备份应包括程序文件、配置、数据库以及必要的上传目录。
- 先冻结写入或切换到维护页，记录当前数据状态，防止回滚期间继续产生不一致。
- 选择攻击前的可用备份，核对备份时间、完整性和恢复所需的依赖版本。
- 在隔离环境恢复并检查管理员账号、上传文件、支付或消息接口等关键功能。
- 确认漏洞已修复、凭据已更新后，再逐步恢复外部访问。
- 上线后持续查看日志和告警，至少覆盖一个业务高峰周期；具体观察时长取决于访问量和风险等级。
回滚的关键限制是“干净备份”并不天然可信。若攻击者早已进入系统，较早的备份也可能含有后门，因此重建、补丁更新和账号轮换必须同步完成。
方案四：抗DDoS与流量分流，适合资源被流量耗尽
当机房出口带宽、连接数或负载持续达到上限，正常用户和管理人员都无法访问时，单纯调整应用代码往往来不及。这类网站被攻击应急处理应尽快联系云厂商、网络服务商或抗DDoS服务，确认清洗能力、源站隐藏方式和切换流程。
- 确认是带宽型、连接型还是应用层高频请求，并保留攻击时间段的流量和日志信息。
- 准备源站健康检查、域名解析、TLS证书和回源访问控制，避免分流后源站仍被直接打穿。
- 按预案切换流量，限制只有清洗节点能够访问源站，管理入口使用独立通道。
- 验证首页、登录、核心接口和后台管理功能，再逐步放宽必要的业务规则。
分流适合大流量冲击，但成本、切换复杂度和DNS生效时间会因服务商、TTL设置及网络环境而变化。它也不能自动修复被植入后门的应用。
如何在四种方案之间快速选择
可按三个问题判断：第一，源站是否仍能安全管理；第二，攻击主要是请求内容还是主机状态异常；第三，资源是否已经被流量耗尽。能识别请求特征且主机正常，先用WAF；有入侵迹象，先隔离；数据被篡改且有可靠备份，采用回滚重建；带宽或连接数耗尽，则优先分流，并配合主机调查。
完成网站被攻击应急处理后，还应补做漏洞修复、最小权限检查、备份恢复演练和告警复盘。应急方案最好提前写明联系人、决策权限、回退条件和复核时间，避免真正发生故障时临时争论。
常见问题
1. 发现网页被篡改，能不能直接恢复备份？
可以，但应先保存现状和日志，并确认攻击入口已关闭。否则恢复后仍可能再次被修改。
2. WAF规则越严格越好吗？
不是。过严规则可能拦截搜索、登录或支付请求，应先小范围启用，再根据日志调整。
3. 服务器重启能解决问题吗？
重启可能暂时清除内存中的异常进程，但不能清除定时任务、恶意文件或被盗账号，不能替代调查。
4. 什么时候必须联系网络服务商？
当出口带宽、连接数或上游设备已被耗尽，源站无法稳定提供服务时，应尽快联系服务商进行清洗或分流。
