网站被攻击后,第一时间不是急着恢复业务，而是冻结现场、完整保留日志和攻击痕迹，这套流程直接决定后续追责和溯源能否成功。
网站被攻击后第一步做什么
网站被攻击后的前30分钟,是证据保全的黄金窗口，多数站长在发现异常后第一反应是重启服务器或者删掉可疑文件，这种做法恰恰会毁掉最关键的证据，行业共识认为，先停下来，做一次完整的现场快照，比任何修复动作都重要。
立即隔离但不要关闭
- 将服务器从公网断开,但保持运行状态
- 记录当前时间、IP地址、系统版本等信息
- 不要登录服务器进行任何常规操作,避免覆盖内存数据
- 如果条件允许,先做内存转储（Linux下用
dd或fmem工具）
记录攻击现场的初始状态
具体操作建议如下：
- 用手机拍下控制台显示内容,包括错误页面、异常进程
- 保留浏览器访问异常页面的完整URL和截图
- 将防火墙、WAF等安全设备的告警记录导出
- 立即联系服务器提供商,确认是否可以提供网络层面的抓包数据
这些看似简单的动作,在后续司法鉴定中都是有力的证明材料。
网站被攻击如何保留证据
这一部分是整个流程的核心,很多站长问“网站被攻击如何保留证据”，其实关键不在于工具，而在于是否按层次完整采集，证据分为系统层、应用层、网络层三个层面，漏掉任何一层都会影响溯源效果。
日志类证据的收集
日志是攻击痕迹最主要的载体,需要收集的日志类型如下：
- 系统日志：
/var/log/secure、/var/log/messages、Windows事件查看器中的安全日志 - Web访问日志：Nginx的
access.log和error.log、Apache的access_log，记录攻击IP、请求路径、UA信息 - 数据库日志：MySQL的
general_log和binlog、慢查询日志 - 应用日志：框架运行时日志，如Spring Boot的
spring.log、PHP的error_log
收集时建议直接复制原始文件,不要打开后另存，因为文件访问时间本身就是一种元数据证据。
文件类证据的收集
攻击者往往会植入webshell、后门程序或篡改文件，这类文件需要单独处理：
- 用
ls -la --time-style=full-iso记录文件的修改时间、权限、属主信息 - 对可疑文件计算MD5和SHA256哈希值,保存到独立文档中
- 复制可疑文件到外部存储介质,注意保留原始二进制内容
- 不要直接删除或执行可疑文件,防止触发攻击者的反制机制
这里有个容易忽略的点,攻击者的SSH私钥、计划任务（crontab）条目、启动脚本中的恶意加载项，都需要一并采集。
网络层面的证据
网络层证据主要依赖基础设施,如果网站有接入云安全服务，可以直接从控制台导出流量分析报告，如果是自建机房，需要借助tcpdump在镜像端口抓包，或者提前配置了NetFlow对端设备提供的流量记录。
- 防火墙的会话日志和策略命中记录
- WAF拦截规则命中日志
- DNS解析记录（包括历史解析，确认有没有被篡改指向）
- CDN节点的访问明细（如果用了CDN）
证据的固定与保全方式
收集到证据之后,固定的过程决定这些材料是否具有法律效力，松散保存在服务器本地的日志，随时可能被认定为被篡改过，要让证据站得住脚，需要做好以下几点：
- 时间同步校验：记录取证前后服务器时间与标准时间（比如国家授时中心）的偏差值
- 哈希值固化：对所有采集到的原始文件重新计算哈希，与首次记录比对，确认没有被改动
- 写入只读介质：使用一次性刻录光盘或只读U盘存储证据副本
- 封存原始设备：在条件允许的情况下，物理隔离并封存硬盘、服务器等原始介质，贴封条并签字
不同规模网站的取证工具选用
不同规模的网站,适用的取证工具组合也不同，小型站点可以用命令行工具完成基础采集，中大型企业建议使用专业取证工具，具体对比见下表：
| 取证场景 | 推荐工具 | 适用规模 |
|---|---|---|
| 内存转储 | LiME、Magnet RAM Capture | 中大型企业 |
| 磁盘镜像 | dd、FTK Imager、Guymager | 全规模适用 |
| 日志分析 | Splunk、ELK Stack、Log Parser | 中大型企业 |
| Web日志快速排查 | GoAccess、awstats | 中小站点 |
| 哈希校验 | sha256sum、HashCalc | 全规模适用 |
工具本身不是重点,重点是每一份证据都能说清楚来源、采集时间和采集人。
网站入侵取证需要多少钱
很多企业主关心“网站入侵取证需要多少钱”，这取决于取证深度和服务方资质，市场上大致有三类价格档位：
- 基础取证服务：主要是日志分析和恶意文件清理指导，通常几百元到千余元，由安全公司远程协助完成
- 标准司法鉴定：由司法鉴定机构出具具有法律效力的鉴定报告，价格一般在数千元到数万元，包含系统镜像、日志分析、攻击路径还原
- 全流程溯源服务：包括威胁情报关联、攻击者画像、跨平台溯源，价格通常在数万元以上，适合被严重入侵或涉及商业机密泄露的企业
需要提醒的是,如果后续有立案或诉讼需求，务必选择持有《司法鉴定许可证》的机构，普通安全公司的报告只能作为参考材料，取证费用与服务器数量、日志量、紧急程度直接相关，多数情况下，标准流程的司法鉴定费用在5000元至3万元区间。
如何选择取证服务商
选择取证服务商时,重点评估以下维度：
- 是否持有司法鉴定资质或CNAS认证
- 是否有独立实验室,能否保证证据链完整
- 过往处理过同行业攻击事件的案例数量
- 能否在法定时限内出具报告
- 保密协议是否覆盖完整的数据处理链路
网站被攻击后保留现场证据的常见问题
网站被攻击了怎么办，是先报警还是先通知用户？
先完成现场证据保全,再拨打110报案，如果涉及用户数据泄露，需要在最短时间内通知受影响用户，并留存通知记录，报案时携带已整理好的日志摘要和攻击时间轴，可以明显加快立案流程。
服务器日志被攻击者删除了还能取证吗？
能,攻击者删除日志后，文件系统底层的数据块在未被覆盖的情况下仍然可以通过extundelete、photorec等工具恢复，云服务器的快照功能可能保留了删除前的磁盘状态，可联系服务商确认是否有历史快照可用，数据库的redo log和undo log也常常能提供间接证据。
网站被攻击后保留现场证据的最长时限是多少？
证据保全本身没有严格时限,但越早提取越好，内存中的进程信息在重启后即丢失，系统日志的保留时长取决于配置的轮转周期，多数Linux服务器默认保留4周左右，如果计划走司法程序，建议在发现攻击后24小时内完成核心证据采集，72小时内完成全部证据固定。
回到开头那句话：网站被攻击后保留现场证据的标准操作流程，本质上是给后续所有处置工作搭建一个可靠的信任底座，这套流程不需要有多高深的技术，但需要在攻击发生后冷静执行，每一步操作都是可追溯的，把现场保住，后面无论是追责、修复还是执法立案，都还有回旋的余地。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/784236.html
