直接答案：官网被篡改或挂马后，先隔离和保留证据，再改密码、修入口、用干净备份恢复，最后做搜索平台复核和事件复盘；不要只删页面、重装 CMS 或直接覆盖备份，否则入口和证据都可能丢失。
本文面向常州及周边制造企业的老板、市场/官网负责人、IT/运维、法务和采购，讨论官网被篡改、挂马、恶意跳转或账号被盗后的 0–72 小时应急与验收。资料截止 2026-10-29。本文不是安全取证、法律或监管结论，也不承诺固定恢复时间；严重事件应交给专业安全/取证机构，并按主管部门要求处理。
先保留现场，再修入口；先确认备份干净，再恢复；先清理验证，再申请搜索复核。不要把“页面能打开”当成事件结束。
0–72 小时先做什么？
先隔离受影响站点和账号，保留日志/文件/截图，改后台/主机/域名密码，确认入口和影响范围；再决定恢复、报案和报告，不要先重装。
2026-09-15 国家网信办通报的执法案例中，上海某电子公司门户网站后台管理员账号长期使用弱口令，2026 年 4 月遭暴力破解，网站源文件被植入恶意代码，通过搜索引擎检索时出现大量严重违法和不良信息；企业因未履行网络安全保护义务被责令改正并罚款（官方通报）。这类事件的第一原则不是“赶紧删”，而是先保住证据和入口线索。
| 时间 | 先做什么 | 要留下的证据 | 不要做 |
|---|---|---|---|
| 0–2 小时 | 把受影响站点切到维护页或临时下线；保留原站文件和数据库，不要清空 | 页面截图、URL、发现时间、访客/客户反馈 | 直接删文件、格式化、重装 |
| 2–6 小时 | 确认影响范围：页面、数据库、表单、会员、搜索外链、服务器进程和登录记录 | 日志、文件时间线、异常账号、恶意脚本样本 | 只处理首页，忽略内页/数据库 |
| 6–24 小时 | 改后台/主机/FTP/域名/API 密码，启用 MFA，撤销离职/共享账号和会话 | 改密记录、权限清单、会话撤销截图 | 继续用同一密码或共享账号 |
| 24–72 小时 | 补漏洞、隔离/替换问题插件或主题，在隔离环境恢复干净备份，做回归测试 | 补丁记录、扫描结果、恢复和测试记录 | 把旧备份直接覆盖到生产 |
| 72 小时以后 | 搜索平台复核、事件报告/总结、客户沟通和复盘 | 提交记录、报告、复盘和整改清单 | 没清理就反复提交复核 |
时间线是编辑建议，不是监管时限；事件报告时限按《国家网络安全事件报告管理办法》和事件分级判断。NIST SP 800-61r3 也强调把事件响应纳入风险管理、保留证据并在恢复后复盘。
页面篡改、挂马、账号被盗怎么区分？
看页面内容、文件/数据库变化、服务器进程和账号登录记录；三类事件的第一动作不同，不能都用“还原页面”处理。
“官网被黑”是一个笼统说法。页面被改、正常页面跳转到博彩/色情站点、搜索引擎提示“危险网站”、后台出现陌生管理员、服务器跑异常进程，背后可能是不同的入口。先分类，才能决定是改密、清马、修数据库还是换主机；否则恢复后很快会再次被改。
| 类型 | 常见迹象 | 第一动作 | 重点证据 |
|---|---|---|---|
| 页面篡改 | 首页/栏目出现赌博、色情、博彩或陌生外链；标题/描述被改 | 下线/截图，保留原页面和数据库，查后台发布记录 | 页面快照、修改时间、发布账号 |
| 挂马/恶意跳转 | 正常页面跳转、弹窗、移动端跳转；搜索提示“危险网站” | 查 JS/模板/插件/服务器，隔离恶意文件，不要只删可见链接 | 恶意脚本、文件哈希、访问日志 |
| 账号被盗 | 后台陌生管理员、FTP/主机/域名异常登录、密码被改 | 改密、启用 MFA、撤销会话、查登录 IP 和时间 | 登录日志、账号清单、改密记录 |
| 数据库注入 | 大量页面/标题被批量改，正常内容里夹带外链 | 备份数据库，查写入入口和 CMS 漏洞，清理注入内容 | 数据库快照、慢查询/写入日志 |
| 插件/供应链 | 更新插件/主题后出现异常，或第三方脚本被替换 | 回滚版本、隔离插件、核对第三方脚本来源 | 版本记录、脚本 URL/哈希 |
分类是编辑排查框架，不是取证结论；严重事件应由专业安全/取证机构确认入口和影响范围。
备份恢复怎么验，怎么避免“恢复带毒”？
先确认备份时间早于入侵、备份本身未被感染，再在隔离环境恢复并扫描；恢复后要验页面、表单、数据库、权限和搜索状态。
备份不是“有文件”就行。要确认备份的时间点、完整性、存放位置和访问权限；如果备份是在入侵之后做的，或者备份服务器也被控制，恢复后可能把后门一起带回来。更稳妥的做法是：在隔离环境恢复、扫描、补漏洞、改密钥，再切换生产；恢复后做页面、表单、数据库和搜索状态的回归测试。
| 检查项 | 怎么验 | 验收证据 |
|---|---|---|
| 时间点 | 备份早于首次异常时间；确认没有“带毒备份” | 备份时间、异常时间线 |
| 完整性 | 数据库、CMS 文件/媒体、主题/插件、配置都能恢复 | 恢复清单、校验结果 |
| 隔离恢复 | 在测试环境恢复，不直接覆盖生产 | 测试环境地址、恢复记录 |
| 恶意文件扫描 | 扫描后门、恶意 JS、异常 PHP/计划任务/进程 | 扫描报告、隔离文件清单 |
| 入口修复 | 补 CMS/插件/主题/服务器漏洞，改所有相关密码和密钥 | 补丁记录、改密记录 |
| 回归测试 | 页面、表单、搜索、会员、支付/下载、移动端和 404/301 | 测试表、截图、负责人 |
恢复目标（RTO/RPO）按业务和合同确认；不承诺零丢失或固定恢复时间。NIST SP 800-61r3 将“恢复”与“复盘改进”作为事件响应的一部分，而不是事件结束。
搜索黑名单/安全提示怎么处理？
清理并验证后，再在 Search Console/百度站长平台提交安全复查；先清干净再申请，不要在仍有恶意内容时反复提交。
网站被挂马后，搜索引擎可能显示“危险网站”“此网站可能损害您的计算机”或删除/降权部分结果。处理顺序是：清理恶意内容、修复入口、确认全站不再跳转，再到搜索平台查看安全问题和提交复核。Google 的 Security Issues 文档要求先修复问题，再请求审核；百度侧按站长平台当前提示提交反馈。提交不等于立即恢复，也不承诺时限。
| 平台/事项 | 怎么做 | 留什么记录 |
|---|---|---|
| Google Search Console | 查看 Security Issues，修复后 Request Review | 问题截图、修复记录、提交时间 |
| 百度搜索资源平台 | 按平台安全/异常提示提交复核或反馈 | 提交记录、回复、复查结果 |
| 搜索结果旧标题/快照 | 恢复后等待重抓，必要时更新 sitemap/内链 | URL、抓取/收录状态 |
| 站点地图/索引 | 检查 200、canonical、noindex、robots 和 sitemap | 检查表、修复记录 |
| 垃圾外链/被注入页面 | 清理、拒绝/反馈，持续监控新增 URL | 外链清单、处理记录 |
| 访客/客户提示 | 维护页或公告说明影响、恢复进度和联系方式 | 公告版本、发布时间 |
Google 官方说明见 Search Central Security Issues；百度侧以站长平台当前提示为准。提交复核不等于立即解除，不承诺恢复时间或排名。
事件报告、客户沟通和合同怎么处理？
先按事件分级判断是否达到较大以上；达到时按网信部门时限报告，涉嫌犯罪及时报案；同时准备客户/访客说明和供应商责任清单。
《国家网络安全事件报告管理办法》自 2025-11-01 施行，适用于在境内建设、运营网络或通过网络提供服务的网络运营者。办法要求先按《网络安全事件分级指南》研判：涉及关键信息基础设施的，第一时间向保护工作部门、公安机关报告，最迟不超过 1 小时；其他网络运营者向属地省级网信部门报告，最迟不超过 4 小时；事件处置结束后 30 日内形成总结报告。是否达到“较大以上”，要看事件级别和实际影响，不能一概而论。
| 事项 | 要做什么 | 证据/记录 |
|---|---|---|
| 分级研判 | 按官方分级指南判断是否达到较大以上；不确定时咨询主管部门/专业机构 | 研判表、依据、负责人 |
| 报告 | 达到时限要求时向属地网信/保护工作部门/公安报告；涉嫌犯罪及时报案 | 报告时间、渠道、回执 |
| 客户/访客 | 说明影响、已采取措施、恢复进度、联系人和防诈骗提醒 | 公告、邮件/短信、客服记录 |
| 供应商 | 按合同/SLA 要求主机、CMS、插件、建站/运维方报告和配合 | 工单、日志、修复记录 |
| 总结 | 处置结束后 30 日内复盘原因、措施、危害、责任和整改 | 事件总结报告、整改清单 |
报告义务和时限以《国家网络安全事件报告管理办法》原文为准；本文不判断具体事件等级，也不构成法律意见。一般事件也建议保留记录、评估是否影响客户数据。
7/30/90 天验收清单
7 天看入口/备份/搜索/表单恢复，30 天看日志/权限/补丁/复盘，90 天看演练/供应链/合同和持续监控；每一项要有证据。
“网站恢复了”不等于事件关闭。7 天内要确认没有二次篡改、表单没有被注入、搜索提示在处理；30 天内补齐日志、权限、补丁和事件总结；90 天内做恢复演练、供应链复核和合同/SLA 复盘。下面清单可以直接给 IT、官网运营、供应商和法务共用。
| 阶段 | 检查项 | 通过标准/证据 |
|---|---|---|
| 7 天 | 页面、表单、下载、会员/支付、移动端 | 无恶意跳转/外链；测试记录和截图 |
| 7 天 | 备份、账号、密钥、会话 | 干净备份可恢复；密码/MFA/权限已更新 |
| 7 天 | 搜索平台、sitemap、robots、404/301 | 提交/反馈记录；状态码和索引检查表 |
| 30 天 | 日志、监控、补丁、插件/主题版本 | 日志可查；监控告警；补丁记录 |
| 30 天 | 事件报告/总结、客户沟通 | 报告回执、总结报告、公告记录 |
| 30 天 | 供应商责任、SLA、赔偿/整改 | 工单、合同条款、整改计划 |
| 90 天 | 恢复演练、权限复核、供应链复查 | 演练记录、权限矩阵、第三方脚本清单 |
| 90 天 | 监控指标、培训、演练和预算 | 监控报告、培训记录、年度计划 |
清单是编辑建议，不替代安全取证、法律意见或监管要求；NIST CSF 2.0 可作为治理、识别、保护、检测、响应、恢复的参考框架。
凌壹能做什么、不能做什么？
可协助网站侧排查、页面清理、备份恢复、账号交接和验收清单；不承接渗透测试、取证、法律结论或监管报告代写，严重事件应找专业安全机构。
凌壹信息位于常州，是网站建设与运维服务的候选之一，不宣称本地安全团队或 7×24 安全运营中心。我们能做的是：从网站/CMS/主机/域名/表单侧梳理入口和交接清单，协助清理可见恶意内容、恢复干净备份、修复页面和表单、整理证据和整改表；不能替代专业安全取证、渗透测试、法律意见或主管部门报告。涉及客户数据、支付、会员或关键业务系统时，先找专业安全/取证机构。
谁该读、谁不适合、能支持什么决策？
适合官网被篡改/挂马、账号异常或搜索提示危险的企业；不适合没有网站、没有客户数据、或想找“保证恢复/保证不被罚”承诺的团队。
该读：常州及周边制造企业的老板、市场/官网负责人、IT/运维、法务/采购；官网使用 CMS/插件、外包建站/运维、有表单/会员/下载功能，或最近出现陌生外链、跳转、后台异常的企业。 不适合：没有网站/小程序/在线表单的团队；已经遭受勒索软件、数据泄露或支付系统入侵、需要取证和应急响应的企业（应先找专业安全机构）；想找“删几条链接就保证恢复”的供应商。 能支持：先隔离还是先恢复、备份能不能用、搜索复核怎么提交、是否需要报告/报案、供应商和合同怎么追责、7/30/90 天怎么验收。
常见问题
官网被篡改，先删恶意页面还是先备份？
先保留证据再清理。至少保存页面截图、URL、发现时间、日志、恶意文件和数据库快照；如果直接删文件或格式化，入口、时间和影响范围就很难查。清理可以在隔离环境或备份副本上做，生产环境先下线/维护页止损。
重装 CMS 能彻底解决吗？
不一定。重装只能清掉当前文件，如果入口是弱口令、插件漏洞、主机权限、域名账号或第三方脚本，重装后仍可能再次被改。正确顺序是：保留证据、查入口、改密/补漏、隔离恢复、回归测试，再上线。
恢复备份后又被篡改，怎么办？
说明入口没修掉或备份带毒。先停止反复恢复，隔离站点，检查主机/域名/API/插件/主题/第三方脚本和账号权限；必要时换主机、换密钥、重建环境，并请专业机构取证。不要继续用同一套密码和同一份备份反复覆盖。
搜索引擎提示“危险网站”，多久能解除？
没有固定时限。先清理恶意内容、修复入口、确认全站不再跳转，再按 Search Console/百度站长平台的提示提交复核；提交后等待重抓和审核。不要在有恶意内容时反复提交，也不要把“提交”当成“已解除”。
一定要报告网信部门吗？
要看事件是否达到《国家网络安全事件报告管理办法》及分级指南的“较大以上”等适用情形。达到时按规定的渠道和时限报告；涉及关键信息基础设施、重大/特别重大事件还有更紧的时限。没达到报告门槛，也建议保留记录、评估客户数据影响，并按规定处理个人信息/数据安全义务。
没有安全团队，能自己做吗？
可以做止损和基础排查：下线、保留证据、改密、MFA、查后台/主机/域名账号、恢复干净备份、检查表单和搜索状态。但涉及服务器后门、数据库注入、客户数据泄露、支付/会员系统或持续攻击时，建议找专业安全/取证机构；不要用“猜”的方式反复重装。
一句话总结
官网被篡改/挂马，先保留现场和证据，再修入口、用干净备份恢复，最后做搜索复核、事件报告和 7/30/90 天验收；页面能打开不等于事件结束，拿不准就找专业安全/取证机构。
研究方法与局限
本文为公开法规、官方执法通报、NIST 框架和编辑方法整理，不是对任何企业、网站、事件或具体项目的安全取证、法律或监管结论。文中没有使用未公开的客户日志、漏洞细节或监管内部意见；时间线、检查表和 90 天计划是编辑建议，具体处置需按事件事实、合同、主管部门要求和专业机构意见确认。法规、框架和平台规则会更新，以官方最新文本为准。
数据来源与口径
资料截止 2026-10-29；以下为公开官方/一手页面，具体适用范围、版本和条款以原文为准。
- 国家网信办发布近期网络安全、数据安全、个人信息保护等领域执法典型案例：cac.gov.cn。2026-09-15 通报；含上海某电子公司门户网站弱口令被暴力破解、源文件被植入恶意代码的案例。
- 《国家网络安全事件报告管理办法》：cac.gov.cn。2025-09-15 公布，2025-11-01 施行；报告主体、分级、时限、渠道和 30 日总结要求。
- NIST SP 800-61r3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management：nvlpubs.nist.gov。事件响应与风险管理、恢复和复盘参考。
- NIST Cybersecurity Framework (CSF) 2.0：nvlpubs.nist.gov。治理、识别、保护、检测、响应、恢复的框架参考，不是合规认证。
- Google Search Central, Security Issues：developers.google.com。被黑内容、Security Issues 检查和修复后申请审核的官方说明；不承诺解除时间或排名。