发现被黑的方式通常很突然：客户说点进来跳到了乱七八糟的站，或者搜索结果里挂着奇怪的标题，或者主机商发邮件说你资源占用异常。
这时候最容易犯的错是马上改密码、删文件，结果证据没了，漏洞还在。
先止血，别急着清理
第一步是让损失停止扩大：把站切成维护页或者暂时关站；改掉服务器、数据库、后台、FTP 的全部密码；检查有没有被加了陌生管理员、定时任务、SSH 公钥。
多数入侵都会留后门，只删表面上那几个木马文件，过几天它自己就回来了。
判断是从哪进来的
常见入口有四类：程序和插件的老漏洞、后台弱密码被撞开、服务器层面的漏洞、以及主机或 FTP 密码泄露。
看日志能定位不少：异常时间的登录记录、大量 POST 请求、陌生的文件写入。文件修改时间尤其有用——按时间排序，被改动的东西往往集中在那几分钟。
清理思路
如果只是几个文件被改，可以拿官方原版文件比对、替换掉被篡改的部分。如果不确定改了多少，最稳的办法是重装：保留数据库和上传的图片，程序文件全部用官方最新版重来，主题插件从官方渠道重装。
数据库也要查一遍，常见的是文章表里被塞了隐藏链接，用户表里多出一个管理员。
加固
- 程序和插件升到最新，删掉用不上的。
- 后台改路径、开二次验证、限制登录失败次数。
- 收紧文件权限，上传目录禁止执行脚本。
- 装一层基础防护，至少挡住批量扫描。
恢复收录和风险提示
清理完、加固完，再去搜索引擎的站长平台申诉，说明已清理并加固，申请解除风险提示。申诉之前一定要确认真的干净了，复试时发现还有残留，处理周期会更长。
最后一句：被黑过的站一定要复盘入口，否则大概率会有第二次。安全这件事，预防的成本永远低于善后。