你的网站被“黑”了，第一反应是什么？

早上一打开网站，首页弹出一堆博彩广告，或者产品页价格全变成“99999元起”——你手一抖，差点把咖啡泼在键盘上。

别急着删库跑路。先稳住，按这个节奏来，真能抢回大部分流量和排名。

网站被黑后，5分钟内必须做的3件事

立刻关站，不是“先看看”。
马上联系主机商或运维同事，把网站切到维护页，或者直接临时屏蔽外部访问。别等“查清楚再说”——百度蜘蛛可不等人，它正一边抓恶意页面，一边给你的站点打上“危险”标签。

所有密码，现在就改。
后台登录、FTP、数据库、甚至服务器SSH密码，全部重设。用长句子当密码（比如“我家猫叫大橘爱吃小鱼干”），别再用“123456”或生日了。

翻日志，找第一个破口。
去服务器的/var/log/目录下看auth.log，或者进WordPress后台翻“用户活动”插件记录。重点盯三点：非工作时间的登录、陌生IP、突然新增的管理员账号。这些就是黑客留下的脚印。

一个真实教训：有个做建材批发的客户，发现首页被挂黑链后，自己折腾半天想“手动清理”，结果那几个小时里，百度抓了二十多个带博彩关键词的页面。等我们介入时，安全中心已经标红警告。后来光申诉就拖了快两周——早关站、早提交，根本不用这么费劲。

如何快速找到并清理所有被篡改的文件？

有备份？直接上。
如果你每周/每月有自动备份（推荐用宝塔面板自带的备份，或主机商提供的快照），那就别犹豫，选最近一次“被黑前”的完整备份，一键还原。还原完立刻检查wp-config.php（WordPress）或config.php（其他程序）——黑客最爱在这类文件里埋后门。

没备份？得手动揪。
下载一份官网原版程序包（比如WordPress.org最新版），用WinMerge或Meld这类免费对比工具，逐一对比服务器上的文件。重点盯三类：

  • 所有.php结尾的文件（尤其是模板页、函数页）
  • .js文件（常被注入跳转代码）
  • uploads/目录下的文件（黑客爱往这里塞伪装成图片的PHP木马）

清理不是删完就完事。
每删一个可疑文件，记下路径和里面藏的恶意代码片段（比如开头是<?php @eval($_POST['x']);?>这种）。这些记录，后面要交到百度手里当“结案报告”。

清理干净后，怎么让百度快速知道？

第一步：把坏链接“报失踪”。
登录百度搜索资源平台 → 左侧菜单点“搜索服务” → “死链提交”。把你网站上所有被黑期间生成的、带博彩/赌博/非法内容的URL，整理成纯文本列表（一行一个），直接上传。别怕多，宁可多报，别漏一个。

第二步：主动递“安全结案书”。
还在资源平台里，点“安全检测” → “安全问题反馈”。填表时写清楚三件事：

  • 被黑大概时间（比如“X月X日凌晨至X月X日中午”）
  • 改了哪些地方（比如“首页HTML被插入博彩链接，产品页JS被加跳转”）
  • 你做了什么（比如“已清空恶意代码、更新全部插件、加固服务器权限”）
    再截两张图：一张是修复后的首页，一张是日志里查到的攻击IP段——上传提交。

顺手再干两件小事：

  • 检查网站根目录下的robots.txt，确认没有写着Disallow: /这种自杀式写法；
  • 用资源平台的“链接提交”功能，把首页、产品列表页、最新文章页这几个核心URL推一遍——告诉百度：“我好了，快来看。”

如何防止内容篡改再次发生？

程序和插件，不更新=留门。
WordPress后台右上角那个小红点、Typecho后台的“系统更新”提示、Discuz!论坛的补丁公告……别点“稍后提醒我”。设置成自动更新核心，插件至少每月手动点一遍“检查更新”。

HTTPS不是摆设，是底线。
如果你还没开HTTPS，今天就去阿里云/腾讯云免费申请个SSL证书，宝塔面板里两键部署。没加密的HTTP站点，数据传过去就像明信片，黑客中途改个价、换张图，你根本不知道。

服务器权限，越小越好。
进宝塔或cPanel，把uploads/、images/这类上传目录的权限改成755，千万别是777；关掉不用的PHP版本（比如只开8.0，关掉5.6和7.2）；数据库用户只给当前站点用，别用root。

一个加固案例：杭州一家做企业建站的团队，上次被SQL注入改了报价单。之后他们干了三件事：在所有表单提交处加了htmlspecialchars()过滤、用宝塔的“文件防篡改”功能监控/wp-content/themes/目录、给管理员账号强制开启手机短信验证。两年过去，再没中过招。

网站被黑会影响排名多久？如何恢复？

快慢决定一切。
如果从发现到关站、清理、提交百度，全程控制在4小时内，多数页面一周内就能回到原来位置；拖到两天以上，有些长尾词可能要两三周才缓过来；要是放任三四天不管，百度可能直接降权，恢复期就得按月算。

恢复期别干等：

  • 每天发1篇原创内容（比如行业小知识、客户答疑），保持蜘蛛来访频率；
  • 登录百度资源平台，每天看一眼“索引量”曲线和“安全状态”是否变绿；
  • 给老客户群发条微信：“网站刚升级完，新报价已更新，欢迎随时询价”——真实点击和停留，百度看得见。

最后说句实在的：
被黑不是世界末日，而是给你敲了一记警钟。很多站长做完这次应急，反而养成了每周看日志、每月做备份、每季度换密码的习惯。网站没以前那么“脆”，这才是最值的收获。

今天下班前就能完成的具体操作

现在，打开电脑，花15分钟做完这四件事：

  1. 登录百度搜索资源平台，点“安全检测”，看有没有红色感叹号；
  2. 进网站后台，翻“用户最近登录记录”（WordPress装了WP Security Audit Log插件的话，直接看“Login Activity”）；
  3. 登录宝塔面板（或你的主机管理后台），点“计划任务”→“备份列表”，确认最近一次全站备份日期是不是3天内；
  4. 进网站后台，点“更新”，把所有标着“有新版本”的插件和主题，一次性全更新掉。

做完就关页面。明天早上，你会庆幸自己今天没刷短视频。