丽江一家企业的网管半夜打电话来：网站被黑了，页面跳转到乱七八糟的地方，要不要马上重装系统？我的回答是：手别抖，重装是最坏的做法，证据全没了。应急处理三步走，听我讲完再动手。
第一步：先断网，别急着修
发现被黑，头一个动作是把服务器从外网断开，或者先切个维护页。目的有两个：别再祸害访客，别让黑客继续操作。千万忍住立刻重装的冲动，系统里留着入侵的痕迹，这些痕迹是找出漏洞的唯一线索。我们处理应急，到场头一件事就是把服务器状态、日志先完整备份下来，证据保住了，后面才有得查。
第二步：查清楚怎么进来的
黑客进门就那么几条路：弱口令、没打的补丁、网站程序的漏洞、来路不明的插件。顺着日志一个个排查，找到入口才算完。找不到入口就清理木马，等于没关门就扫屋子，扫完还会再进。我们给企业做安全服务，查入侵路径是硬功夫。我们团队交付项目时执行自动化测试加代码审查加安全审计，这些功夫就是平时攒下的。
第三步：清理加固，再开门
木马清干净、漏洞补上、口令全换、权限收紧，确认没问题了再恢复上线。上线后头两周盯紧日志，确认黑客没留后门。这三步走完，还得补一课：平时怎么防。定期补丁、异地备份、口令策略，这三件事做扎实，比被黑十次再应急强。丽江信服无限团队的运维服务里，巡检和备份是标配，就是不想让你在半夜抓瞎。
应急之外补一条：恢复后先改所有密码，再查最近30天的日志，后门多半藏在计划任务里。我们处理过的应急单，2小时内隔离的，损失基本都控在原地。
服务器安全的常见疑问
服务器被黑了第一件事做什么？
断外网或切维护页，备份当前状态和日志留证，然后再排查。别先重装系统。
被黑过的服务器还能用吗？
查清入侵路径、彻底清理加固后能用。查不清来源的，备份数据后重装更稳妥。
平时怎么防被黑？
三件事：及时打补丁、口令够复杂且定期换、数据异地备份。做到这三条，中招概率大降。
总结：应急有序，平时有防
服务器被黑不可怕，可怕的是慌了手脚把证据清光。断网取证、排查清除、加固上线，三步走完，再把平时的防护补上。你在丽江管着服务器，把平时的巡检情况说说，咱们看看防得够不够。