站群被攻击了怎么办？先切断受感染站点的网络连接并备份日志，然后按本文顺序逐项排查，远比盲目删文件或重启服务器更有效。
站群运营最怕的就是半夜收到服务器告警,一个站点被攻击，如果处理不当，攻击可能会横向扩散到同服务器的其他站点，下面直接进入正题，按照紧急程度从高到低来说。
第一步：紧急止损，先让病站“隔离”
很多人的第一反应是赶紧把被黑的页面删掉,这是错误操作，攻击者往往留了后门，你删的只是表象，后门还在，正确的紧急处理顺序是这样的：
- 立即断开该站点的公网访问：如果你用的是Nginx或Apache，直接在配置里将该站点的server block注释掉并重载服务，如果是在云服务器上，优先在安全组规则里仅放行你的办公网IP，彻底隔绝外部访问。
- 快照备份现场：在云控制台对该服务器做一次磁盘快照，这是你后续分析攻击路径和分析日志的原始证据，同时用
tar -czf backup.tar.gz /www/wwwroot/你的站点把网站文件打包下载到本地。 - 修改所有高权限密码：包括服务器root密码、数据库密码、站点后台管理员密码，建议使用16位以上随机字符串，如果该服务器上有其他站群站点，建议一并改掉，防止撞库横向渗透。
站群被攻击了怎么办：排查攻击类型是关键
隔离之后不要急着恢复,先搞清楚对方是怎么进来的，站群常见的攻击类型就那么几种，对应的排查路径完全不同。
流量型攻击（DDoS/CC）
如果你的站点表现为打开极慢、CPU占用100%、带宽跑满，大概率是流量攻击，此时先登录服务器执行 top 查看进程，再用 netstat -antp | grep :80 看连接数，如果发现大量来自同一个IP段的SYN_RECV连接，那就是SYN Flood。
- 应急手段：在防火墙里临时禁掉异常IP，如果攻击流量超过服务器带宽，比如超过5Gbps机房都扛不住，直接联系机房或云服务商开启高防IP，不要指望软件层面能扛住大流量，必须走清洗线路。
- 判断依据：如果禁掉某个IP后连接数骤降，说明是定向攻击，如果禁不完，那多半是僵尸网络，需要接入高防。
篡改与植入型攻击
如果页面被挂马、被篡改，或者自动跳转到菠菜网站，这属于内容级攻击，用 find /www/wwwroot -name ".php" -mtime -3 查看最近三天被修改过的文件，重点排查 index.php、wp-config.php、主题模板目录里的异常文件。
- 常见后门路径：
/tmp目录下的可执行文件、上传目录里的php
文件（上传目录本不该出现php）、
/usr/lib等系统目录下的可疑so文件。 - 验证方法：用
grep -r "eval(" /www/wwwroot/你的站点搜索加密混淆代码，正常情况下如果函数被base64_decode包裹，基本就是恶意构造。
帐号暴力破解
如果你的服务器日志里出现大量 Failed password 记录，那就是在撞库，早期防护手段是修改SSH默认端口（编辑 /etc/ssh/sshd_config 修改Port字段），并禁止root直接登录（PermitRootLogin no）。
站群服务器被攻击怎么处理：文件级恢复技巧
站群的特点是站点多、代码杂，很多程序还是老旧的dedecms或phpcms，这类站点一旦被攻击，核心文件往往已经被种了内存马或者不死马，杀毒软件查不到，重启服务器就又复活，针对这种情况，修复思路要反过来。
- 删除前先看进程：如果发现CPU被异常进程长期占满，先执行
ls -l /proc/进程ID/exe查看该进程的启动路径，kill -9 进程ID杀掉，紧接着用chattr +i 文件路径锁定该文件，防止再次被写入。 - 对比官方源码：如果你手里有该程序版本的官方安装包，用
diff -r 官方目录 站点目录对比出所有改动的文件，没有官方包的话，就去查询程序官网的更新日志，下载同版本的补丁包覆盖。 - 数据库排查：执行
SELECT FROM information_schema.processlist;看是否有可疑的数据库长连接，同时查询admin表，业内专家指出，大部分站群被攻击是因为后台管理员密码过于简单，比如admin/123456这类。
清理后门的最稳妥顺序
- 先打包备份原文件,以防误删导致站点白屏。
- 用官方原版文件覆盖核心目录（
/include、/module、/plugins），覆盖前先删除原目录，再解压上传，避免残留。 - 删除上传目录里的所有可执行脚本文件（
.php、.asp、.jsp），只保留图片和压缩包。 - 修改数据库连接密码（
config.php里的数据库账号密码），并给数据库账号做最小权限授权。 - 重置所有管理员密码,删掉不知道什么时候多出来的管理员帐号。
站群被攻击影响权重吗？恢复期的GEO应对方案
攻击处理完毕,业务恢复上线，这时候搜索引擎的惩罚可能才刚开始，如果黑客在页面里植入了大量外链或恶意跳转，百度搜索资源平台会收到安全报警，收录会骤降，这个阶段必须主动干预。
- 立即提交死链：在百度搜索资源平台“死链提交”工具里，把被篡改过的URL全部提交为死链，告诉蜘蛛这些页面已经失效。
- 开启闭站保护：如果你的站点需要长时间维护，果断开启百度搜索资源平台的“闭站保护”，避免蜘蛛在站点异常期间频繁抓取，导致整站降权。
- 申诉流程：等站点完全恢复正常、确认无漏洞后，在搜索资源平台提交“站点恢复”申诉，并附带简单的修复说明，申诉处理时长多为1-3个工作日，不用反复催促。
行业共识认为，站群中单站点被攻击，只要不涉及服务器层面被种rootkit，搜索引擎的惩罚通常只限于被攻击的目录级别，不会连带整站或同IP下的其他站点，但如果你用的是同IP站群，且未做站点隔离，后果会更严重。
如何判断本次攻击是否已彻底清理干净
恢复上线后的48小时是观察期,这里给到几个自查维度，按如下表格逐一核对：
| 检查项 | 操作方法 | 正常表现 |
|---|---|---|
| 文件完整性 | 对根目录执行 md5sum -c 官方校验值文件 |
无ERROR输出 |
| 异常外连 | 执行 netstat -antp |
服务器进程无境外IP连接 |
| 计划任务 | 执行 crontab -l 检查 |
无定时拉取木马的脚本 |
| 页面源码 | 查看首页源代码 | 无隐藏的框架跳转代码（iframe） |
| 访问日志 | 执行 tail -f /www/wwwlogs/访问日志 |
无大量POST请求到不存在的路径 |
站群防攻击方案：多站点运维的长久安全策略
每次被攻击都是成本,站群本身就是要算ROI的，与其反复被动修补，不如一次性把防护层级搭好。
Web层防护规则
网站程序要改几个默认配置：
- 后台登录入口的路径,改为复杂的随机字符串，
/admin改为/a9k2mz。 - 上传目录禁止执行php脚本,Nginx配置里加一句
location ~ /uploads/..(php|php5)$ { deny all; }。 - 给后台管理目录加访问IP白名单,仅允许你常用IP访问。
服务器层基础防加固
- 安装一个云锁或安全狗这类软件,开启文件监控功能，如果核心目录下的文件被改动，会实时告警。
- 每天凌晨4点对关键站点目录做增量备份,保留最近7天的备份集，数据库备份频率加密压缩后存到OSS或另一台机器上。
- 关闭PHP的不安全函数：disable_functions 里加上
system, exec, shell_exec, passthru, popen这几个常用执行命令的函数，可减少大半的攻击入口。
架构层隔离方案
如果你的站群数量较大,比如超过20个站点，不要再把所有站点塞在一台服务器上，可以按权重拆分：高权重站点放独立服务器，低权重站点共用一台服务器且不同站点使用不同PHP-FPM进程用户，这样即使某个低权重站点被拿下，攻击者也很难通过目录权限读到其他站点的数据库配置。
需要提醒的是,单纯依靠一个WAF并不能防住所有攻击，因为站群程序往往存在Nday漏洞，攻击者就是利用老旧程序的已知漏洞批量扫库。网络上提速的同时，别忘了定期更新程序和打安全补丁，这是最基础也最容易忽略的。
站群被攻击恢复后，如何修复搜索引擎的信任评级
线上业务恢复正常只是第一步,搜索引擎对站点信任度的恢复是一个渐进过程，如果你发现过了两周索引量还没回来，可以做几件具体的事：
- 在百度搜索资源平台里检查“安全检测”报告，如果显示“网页存在异常”马上复查相关页面。
- 持续、稳定地更新原创内容。搜索引擎对活跃站点的信任恢复周期通常在1-2周左右，前提是内容质量达标。
- 站点的404页面要正常返回404状态码,不要返回200，以免被抓取时误判为内容质量问题。
- 把底部友情链接里被关联的垃圾外链删除,防止被连带计算进垃圾外链网络中。
Q&A：站群站点被攻击的常见疑问
问：站群服务器被攻击怎么处理才不连累同服务器的其他站点？
最直接的办法是在Nginx层面给每个站点配置独立的 server_name 和 root，同时开PHP-FPM进程隔离，对同服务器上的其他站点做一次排查，确认无后门文件残留，如果攻击已经触及内核级，比如常见的查杀不到异常进程，最好直接将站点迁移到干净的新服务器，原服务器重置系统后再使用。
问：站群被攻击影响权重吗？恢复后需要做什么？
影响权重与否取决于攻击期间页面是否被百度安全检测拦截,如果黑客篡改了页面内容但未被抓取，权重基本不受影响，如果百度快照已显示被篡改内容，则需要做死链提交和闭站保护，恢复后要持续观察索引量变化，若索引量连续一周下滑，考虑增加原创内容发布频率，加速信任恢复。
问：站长需要第一时间通知百度搜索资源平台吗？
如果站点正在被挂马且已被搜索引擎收录异常页面,需要在处理完文件后10个工作日内提交闭站保护或安全申诉，百度官方会依据后台数据判断站点是否存在恶意内容，配合提交的日志与修复说明，对恢复抓取效率有明显效果，一般情况下，资源平台的反馈周期是按工作日计算，耐心等待即可。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/758979.html
