官网被挂马那夜，抢着删文件的老板和要留样本的前端

凌晨两点十七分，运维监控群弹出一条告警：公司官网在部分地区打开后，三秒之后自动跳转到境外一个赌博页面。老板的手机几乎同时收到老客户的微信截图，问「你们网站是不是中病毒了」。那一刻大多数人脑子里只有一句话——赶紧把那个乱跳的页面删掉，让站恢复正常。可网站设计交付时从没人讲过，遇到这种事第一动作做错，后面要多花好几倍时间，还可能让同样的后门在下个月再开一次。

老板：删干净、赶紧上线，别耽误明天接单

站在老板的位置，官网是接询盘的门面，跳转出去的赌博页每多挂一分钟，就多一批客户截图发朋友圈。他的本能是把中毒的文件一删了之，最坏情况整站用备份覆盖还原，天亮前必须能正常打开。这个诉求完全合理，问题出在「删」和「覆盖」会顺手清掉两样东西：一是服务器访问日志里那几条异常请求，它们记着攻击者是借哪个接口进来的；二是被改过的页面原文件，它藏着后门的真实写法。等真想溯源时，现场已经被人收拾干净，只能从头猜。更糟的是，盲目覆盖如果用的是一份已经被悄悄篡改过的备份，后门会原样回到线上，白忙一场。

市场负责人：先把那张丢人的页换掉，别让搜索标红

市场这边盯着的是口碑和流量。官网跳赌博页，最坏的不是丢几个访客，而是搜索引擎爬到之后给站点打上「该网站可能含有恶意软件」的红色警示，一旦出现，自然搜索流量可能掉一半以上，撤标还要走平台申诉流程。所以市场也想快点把页面换回正常版。但她和老板的急法有细微差别：她需要知道恢复之后要不要主动向百度搜索资源平台、Google Search Console 提交「已修复」复查，而不是默默上线假装没事。这也要求保留一份被黑时的页面样本和截图，作为后续申诉的凭证。网站设计再好看，一旦被标红，获客成本会立刻翻倍，这份样本恰恰是洗白自己的证据。

设计师：我那层素材到底干净没，别拿被改的当原稿

设计师关心的是自己交付的那一层有没有被污染。攻击者常把恶意脚本塞进看起来无害的图片或样式文件里，比如在一张产品图后面挂一段隐藏跳转代码，肉眼根本看不出。她要确认两件事：自己上传的素材是不是被加了料，整站还原时会不会把带码的资源又带回去。这里出现一个尴尬：取证要求把被改版本完整留着，设计却想立刻用干净的原稿覆盖掉「脏」文件。折中的做法是，设计师先把本地那份原始源文件交付出来做比对，线上被改的副本依旧封存，谁都别急着动。等确认源文件和线上脏文件逐字节不同，再谈清理，网站设计层面的责任边界也就清楚了。

前端与运维：先别清场，把日志和样本留给我

真正能定位根因的，是管服务器和写代码的人。他要的是时间：把近七天的访问日志拉到本地、把异常时间点的文件修改记录导出来、把疑似后门脚本整份拷走慢慢看。攻击者留下的入口往往很具体——某个不再维护的旧插件没打补丁、一个测试接口忘了关、或者后台口令还是出厂弱密码。这些线索全在日志和被改文件里，一旦前端顺着老板的指令把目录一删，证据链当场断掉，下次中招还是同一个洞。他给老板的承诺可以是：给我四到六小时，我先把攻击路径画出来，再动手清，比闷头删完隔周又中招要省事得多。网站设计阶段埋下的权限和后门问题，也只有这时候才暴露得出来。

后期运营：按平台的规矩走，别硬删硬上招二次惩罚

负责日常运营和投放的人，最怕的是「治好了病却留下案底」。百度、Google 对疑似被黑站点有一套自动处置：抓取到的恶意页面会被从索引里拿掉，广告账户也可能被暂停。如果市场急着把站覆盖上线、却没走搜索平台的「修复后复审」流程，平台可能判定你只是临时遮丑，二次抓取又发现异常，惩罚会更重、解封更慢。运营要盯的是两个动作：恢复上线前确认恶意URL已经彻底移除而非只是隐藏，上线后第一时间在站长平台提交安全复查请求，并保留好处置时间线作为材料。对靠搜索获客的站点来说，按平台节奏走那几天，比强行秒恢复更保排名。

把五本账摆到一张桌上，先定三件事

冲突的根子不在谁对谁错，而在于「恢复营业」和「保留证据」被当成了同一件事，抢着做就会互毁。落地时先定三件：第一，给老板一张停机损益表，把「留四到六小时取证」和「盲目删完隔周再中招、搜索标红丢一半流量」摆在一起，用数字换他停手；第二，指定一个安全事件负责人，所有删文件、恢复上线的动作必须经他一人，别让市场和运维各干各的；第三，取证和恢复分两套环境，样本封存到离线盘，恢复走可信备份在隔离测试机验证无误后再切线上。做到这三条，网站设计再出事，也能把一次慌乱变成一次可控的处置。