## 第一件事：下线或摘流量
发现首页被换成赌博或色情内容，第一反应不是修页面，是止损。页面每多挂一分钟，被用户与搜索引擎看到的风险就多一分，被标记之后恢复成本翻倍。动作要快：控制台防火墙临时关闭 80 与 443，或把域名解析临时切到维护页。整站下线影响业务的话，至少把被篡改页面替换成静态维护公告。此刻不要纠结恢复完整功能，先让污染内容从公网消失。
## 第二件事：取证
修复冲动要克制，先固定证据，它决定后续能不能查清入侵路径。顺序错了证据就没了：先把当前页面截图、把被篡改的文件与最近新增的可疑文件复制一份到本地，导出 Web 与系统日志的时间窗片段。有快照条件的，对当前状态打一个快照留底。取证完成后才开始动手改。
## 第三件事：换密
假设攻击者拿到的每一把钥匙都还有效，全部轮换：服务器 root 与应用账号密码、数据库密码、SSH 密钥对（清空 authorized_keys 换新）、面板与后台管理员密码、API 密钥与对象存储凭据。轮换顺序由外到内。同时检查异常：authorized_keys 里的陌生公钥、新增的系统用户、陌生的定时任务，这些后门不拆，改密码等于白改。
## 第四件事：补漏
还原网站：从确认干净的备份恢复文件，而不是在污染版本上手工删改——你看得到的篡改只是一部分。然后找入侵路径：Web 日志里的可疑 POST、上传目录里的脚本文件、未更新的组件版本，对应修复：上传目录禁执行、后台改强认证、组件打补丁。恢复后持续观察日志几天，防止二次入侵。
**收尾。**四件事走完，写事件复盘：时间线、影响面、根因、改进项。被篡改是安全体系的一次体检，改进项落地比追责重要。日常的预防清单：关键文件完整性监控、定期更新、最小权限、异地备份，顺云快照加异地备份的组合在事发时就是你的底气。