網站被入侵之後：先做哪幾件事，才不會清完又被放回來

發現網站被入侵，第一個反應往往是趕快把奇怪的檔案刪掉、把首頁恢復原狀。這個反應很自然，卻常常讓問題拖得更久：看得到的症狀消失了，攻擊者留下的後門還在，過幾天網站又出現同樣的狀況。處理入侵事件，順序比速度更重要。冷靜下來照順序處理，通常比手忙腳亂地四處刪檔更快真正解決。

先保留現場，再動手清理

在刪除任何東西之前，先把網站檔案、資料庫與主機紀錄完整備份一份。這份備份不是用來還原的，而是用來追查：攻擊者從哪裡進來、什麼時候進來、動了哪些地方。少了這些線索，就只能猜測入侵途徑，補洞也只能碰運氣。

如果網站正在對訪客顯示惡意內容，或轉址到詐騙網站，可以先暫時切換到維護頁面，避免更多訪客受影響，同時保留被入侵時的檔案狀態。這一步的重點是止血，而不是急著刪除。

處理時的幾個關鍵步驟

• 找出入侵途徑：常見的是過期外掛的弱點、被猜中的密碼或外洩的帳號；不把入口補起來，清得再乾淨也會再被打開。
• 全面搜尋後門：攻擊者通常會在不同位置留下好幾個後門，有些偽裝成正常的系統檔案，需要逐一比對內容，而不是只看檔名。
• 更換所有相關密碼：後台帳號、資料庫、主機與檔案傳輸的密碼都要換，並檢查有沒有多出陌生的管理員帳號。
• 清理後持續觀察：處理完成後的一段時間內，持續監看檔案變動與異常流量，確認沒有再被放回來。

如果手上有入侵前的乾淨備份，可以作為比對的基準；但直接還原之前要先確認兩件事：備份本身是不是也已經被放了後門，入侵途徑是否已經封住。否則還原只是回到被入侵前一刻的狀態。

入侵處理的終點不是網站恢復正常，而是確認攻擊者再也進不來。

這對你的生意意味著什麼

入侵事件除了技術處理，也牽涉到對外溝通。如果網站存有客戶資料，要評估是否有外洩的可能，並依個資相關規範判斷需要通知的對象。搜尋結果若已出現垃圾內容，清理後也需要請搜尋引擎重新檢查，排名與信譽才會逐步恢復。處理過程也要留下紀錄：發現了什麼、改了什麼、什麼時候完成，日後若再有狀況，這份紀錄能大幅縮短判斷時間。

如果網站架構已經很老舊、類似事件反覆發生，處理完這一次之後，也值得認真評估是否該改版重建。創智苑處理網站入侵時，會從追查入侵途徑、清除後門到補強防護，把每一步的發現與處理都記錄在報告中。