丽江做客栈预订的老板问我：网站被挂马了，把多出来的页面删掉是不是就没事了？我的回答是：删掉的只是表面的草，根还在土里，而且你最该担心的不是页面，是客户资料。这事必须掰开讲。
挂马的危害，页面只是冰山一角
黑客进到你的服务器，挂个马、插个跳转，那只是顺手干的小事。真正值钱的是你数据库里的东西：客人的姓名、电话、身份证登记信息、订单记录。这些信息被打包卖走，你的客人在别处接到精准诈骗电话，第一个怀疑的就是你。做旅游生意的，客人把身份证照片都传给你了，这份信任砸一次就捡不回来。
被挂马的信号，早点认出
明显的信号：页面跳转到陌生网站、多了不是自己加的页面、搜索引擎结果里出现乱码标题。隐蔽的信号：网站突然变慢、服务器流量莫名上涨、搜索引擎提示网站存在风险。很多老板是客人打来电话才知道网站出事了，这时候往往已经被挂了几周。我们给客户做运维，安全审计里有挂马扫描这一项。自动化测试加代码审查加安全审计是交付的质量门禁，上线前后各过一遍。
正确处理，顺序不能乱
头一步不是删，是先断外网留证据，把日志和文件状态备份下来。第二步找入口：漏洞在哪、口令是不是被猜的、插件是不是带毒。第三步才是清理和加固。跳过找入口直接删文件，等于贼还在屋里你就换了块门玻璃，过几天还得进。丽江信服无限团队处理过这类应急，每次都是先堵门再打扫，顺序错了白忙一场。
补一条应急原则：发现中招先断外联再排查，别边开边修。我们处理过的应急单里，动作快的基本当天恢复，拖过3天的，收录和客户都跟着掉。恢复也有顺序：先恢复静态页，再开后台，24小时内盯着日志。
网站挂马的常见疑问
网站被挂马了先做什么？
先断开外网访问或切维护页，备份当前状态和日志留证，再找入侵入口，收尾清理加固。
客户数据泄露要担责任吗？
要。个人信息保护有明确法规要求，企业有保管义务，泄露可能面临处罚和索赔。
平时怎么防挂马？
及时打补丁、口令复杂且定期换、插件只用官方来源、定期安全扫描，四件事做扎实。
总结：先保住客人对你的信任
挂马这事，防的成本低，出的代价高。补丁、口令、扫描三件套做起来，别让客人的资料在你手里出了门。你在丽江的网站有过异常迹象，把情况说说，咱们先查一遍。