某天客户打来电话：“你家网站怎么跳到一个卖药的页面？”这多半就是被挂马了。茂名不少老板遇到这种情况，第一反应是赶紧让技术把可疑文件删掉，结果删完没几天又犯。处置安全事件，顺序比动作更重要。
第一步：先隔离，别急着删
发现被挂马，最要紧的是先切断风险，而不是马上清理。可以先把网站下线或加一层访问限制，防止继续对访客造成影响，也防止攻击者还在里面活动。同时把网站文件和数据库完整备份一份，留着做取证和比对。
没留证据就删，等于把线索一并扔了。茂名信服无限的团队处理这类事件，头一件事就是留档，弄清楚哪天被改的、改了什么，才能找到攻击进来的口子，不然清了还会再中招。
第二步：查入口，找到怎么进来的
挂马只是结果，真正的病根在入口。常见的口子有三类：程序或插件的旧版本漏洞、后台弱口令被撞开、服务器本身没打补丁。挨个排查，才能定位到是哪一扇门被撬开的。
找到入口，才算真正开始修。我们见过茂名有企业反复被挂马，把页面清了三次都没用，最后查出来是后台密码太简单，被人一直登录着。换个思路，问题一下就解决了。
第三步：清干净，再加固
定位入口后，改密码、补漏洞、清理后门文件，再把系统升级到安全版本。加固这一步别省：强口令、定期备份、装个基础的防护和监控，让再有人试探时能及时发现。
防护的意义，是让下次的尝试进不来。茂名做线上的企业，哪怕预算不多，把这三样基础的做上，也能挡住绝大多数“广撒网”式的攻击，性价比很高。
网站被挂马的常见疑问
网站被挂马，客户数据会泄露吗？
不一定，要看攻击者的目的。有的只是篡改页面做黑帽推广，有的确实会窃取数据。发现后尽快隔离和排查，能把风险降下来。
清完之后还会不会再被挂？
如果只清不改漏，很可能复发。只有堵住入口、加固防护，复发概率才会明显下降。清理和加固要一起做。
遇事不乱，按部就班
网站被挂马，慌是最没用的反应。茂名信服无限团队处理安全事件时，习惯按隔离、查因、加固三步走，验收后交付完整源码、含一年免费维护，把权责和技术都理清楚，让老板遇到事时心里有底。