网站被黑：如何制定阶段性交付物
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /fb2237aff7a1.html
📄
网站被黑：如何制定阶段性交付物
网站被黑后的恢复工作，应当按“先止血、再取证、后重建”的顺序拆成阶段性交付物。每个阶段都要有可验收的产物，而不是只写“处理完成”。具体做法是从最终交付结果倒推：先明确恢复上线、安全加固、收录恢复分别需要什么证据，再倒推必需的资料、任务、责任人和验收标准。
先确定最终交付结果，再倒推阶段
网站被黑的处理通常有三种最终结果：一是页面恢复正常访问，二是确认入侵路径已被切断，三是搜索引擎中的恶意结果被清理。三者需要的证据不同，不能合并成一个“搞定”节点。
- 恢复访问：需要正常页面快照、服务器返回状态正常、关键功能可用。
- 切断入侵：需要入口定位记录、已修复的漏洞说明、账号与密钥变更记录。
- 清理搜索结果：需要恶意页面清单、清理后的页面状态、以及向搜索引擎提交重新审核的记录。
倒推时先问：验收人要看什么才能签字？如果验收人只看到“已清理”，无法判断是否还有后门，就不算合格交付物。
两种常见处理方案的适用条件对比
方案A：备份恢复加补丁修复。适合被黑时间较短、备份时间点干净、且能确认入侵入口的情况。交付物包括：干净备份的恢复记录、漏洞修复说明、恢复后全站扫描报告。判断结果是：如果备份本身已含后门，恢复后仍会再次被黑，此时应改用方案B。
方案B：逐文件排查加重建。适合备份不可信、被黑时间久、或恶意代码分散在多个目录的情况。交付物包括：文件比对清单、可疑代码样本、重建后的干净版本、以及旧版本下线记录。判断结果是：如果站点规模大且业务不能长时间中断，可以先用临时维护页止血，再分目录推进。
两种方案的选择依据是备份可信度和入口是否明确，而不是网站大小。备份可信、入口清楚，优先方案A；备份不可信或入口不明，优先方案B。
从交付物倒推资料、任务、责任和验收
以“恢复干净页面”这个交付物为例，倒推过程如下：
- 资料：最近一次干净备份的时间点、服务器访问日志、被篡改文件清单。
- 任务：隔离受影响目录、比对文件差异、修复入口漏洞、恢复干净文件。
- 责任：明确谁负责备份核验、谁负责漏洞修复、谁负责最终验收。
- 验收：随机抽取若干页面，确认无异常跳转、无隐藏链接、无未授权脚本；服务器日志中不再出现异常请求。
每一步的验收结果只有“通过”或“不通过”，不写“基本完成”。如果某个交付物无法验收，说明它还不是交付物，只是过程动作。
阶段性交付物清单示例
以下清单按阶段排列，可按实际规模增减：
- 阶段一止血：维护页上线记录、受影响范围清单、临时访问限制说明。
- 阶段二取证：入侵入口分析记录、异常账号与密钥变更记录、日志留存位置。
- 阶段三清理：文件比对结果、恶意代码清除记录、全站扫描报告。
- 阶段四恢复：干净版本上线记录、功能回归检查结果、监控告警配置。
- 阶段五收录：恶意页面清单、清理后状态说明、向搜索引擎提交重新审核的记录。
注意：抓取、索引和排名是不同环节。页面清理干净不等于搜索引擎立即更新结果，提交重新审核后仍需等待处理，不要承诺固定见效时间。
验收时重点检查什么
验收不是看报告写得多完整，而是看能否复现结果。可以执行以下检查：
- 用不同网络环境访问首页和内页，确认没有异常跳转。
- 查看页面源代码，确认没有陌生脚本和隐藏链接。
- 核对服务器上的文件修改时间，确认没有近期未授权的改动。
- 检查账号权限，确认已删除陌生账号并更换密钥。
- 在搜索引擎中搜索站点特征词，确认恶意结果已减少或消失。
如果检查中发现新的异常，应回到对应阶段补充交付物，而不是直接跳到下一阶段。
下一步：先写下你的最终验收标准，再把它拆成三个阶段的交付物，每项交付物都指定一个可检查的证据。
