做為一個(gè)運(yùn)維人員要經(jīng)常面對(duì)各種問(wèn)題，其中不可避免的就是網(wǎng)站入侵問(wèn)題，據(jù)觀察此類問(wèn)題基本上是為了掛馬、流量攻擊、拖庫(kù)，除了拖庫(kù)對(duì)網(wǎng)站安全影響很大，掛馬和流量攻擊的危害性相對(duì)比較小。大部分網(wǎng)站都會(huì)面臨被掛馬的問(wèn)題，更甚者在掛馬頁(yè)竟然寫(xiě)著“友好往來(lái)，拒絕刪鏈，否則后果自負(fù)”，這對(duì)服務(wù)器運(yùn)維人員來(lái)說(shuō)簡(jiǎn)直是赤裸裸的挑釁。
一般的運(yùn)維人員對(duì)這種問(wèn)題往往沒(méi)有太好的解決辦法，只是簡(jiǎn)單的刪除鏈接恢復(fù)網(wǎng)站，但沒(méi)過(guò)幾天問(wèn)題依然沒(méi)有解決，掛馬依然存在，雙方就這樣在刪除與添加中對(duì)峙。
有好多客戶打電話過(guò)來(lái)反映網(wǎng)站被掛馬了，咨詢網(wǎng)站掛馬之后該如何處理，具體問(wèn)客戶什么時(shí)間被掛的，客戶大部分都說(shuō)不出來(lái)具體時(shí)間，他們的解決辦法也很簡(jiǎn)單，掛完之后直接刪除，然后繼續(xù)這場(chǎng)無(wú)頭的拉鋸大戰(zhàn)，其實(shí)這是不對(duì)的。
如果我們發(fā)現(xiàn)網(wǎng)站被入侵之后，首先要做的不是刪除，而是保留證據(jù)，第一步操作是找到文件的具體修改時(shí)間，要把這個(gè)時(shí)間點(diǎn)確定，只有時(shí)間點(diǎn)確定之后才能有后續(xù)的操作，如果你連自己網(wǎng)站什么時(shí)候被入侵的都不知道，還談什么后續(xù)的處理呢？
第二步：查找相關(guān)日志
找到文件的修改時(shí)間之后，馬上查找對(duì)應(yīng)時(shí)間的網(wǎng)站訪問(wèn)日志、服務(wù)器登錄日志、ftp日志，按這個(gè)時(shí)間點(diǎn)查詢肯定會(huì)有蛛絲馬跡，找日志的目地是為了找到我們的程序或者服務(wù)器的漏洞，只有找到漏洞，把漏洞封堵才是解決問(wèn)題的根本，不然漏洞給人留著，隨時(shí)都可以進(jìn)行修改，你所有的工作都白做了。
注意：windows日志和文件時(shí)間會(huì)有8個(gè)小時(shí)的時(shí)間差！
第三步：漏洞修復(fù)
如果是網(wǎng)站的漏洞，通過(guò)網(wǎng)站訪問(wèn)日志就可以看到，一般文件修改時(shí)間點(diǎn)的日志前后會(huì)有大量不正常訪問(wèn)頁(yè)面，請(qǐng)求方式大部分都是post，網(wǎng)站訪問(wèn)基本上是get，如果是post請(qǐng)求就需要特別注意了，有的時(shí)候找到的文件是黑客上傳的文件，然后要根據(jù)這個(gè)文件創(chuàng)建的時(shí)間重復(fù)之前的操作，直到找到根本，這里面大部分都是編輯器上傳漏洞引起的，fck問(wèn)題居多。
溫馨提示：使用編輯器的時(shí)候一定要主要上傳的處理，不要使用編輯器默認(rèn)的上傳處理，默認(rèn)的上傳處理是沒(méi)有用戶驗(yàn)證的，也就是說(shuō)別人知道這個(gè)上傳地址可以上傳任意文件，能傳文件也就能傳webshell，否則，一時(shí)的省心到時(shí)候哭都來(lái)不及了。
網(wǎng)站遭遇入侵之后，一定要查找入侵原因，把漏洞修改，這樣才能徹底解決問(wèn)題，是服務(wù)器安全沒(méi)有做好，還是程序安全沒(méi)有做好，把該處理的處理好，徹底杜絕后患，同時(shí)要把安全時(shí)刻放在心上，時(shí)刻保留安全意識(shí)，只有這樣才能減少網(wǎng)站被入侵的風(fēng)險(xiǎn)。
