网站被发现植入后门脚本之后，清理、回滚与加固按什么顺序做
网站被发现植入后门脚本之后，清理、回滚与加固按什么顺序做？正确顺序是先断可写入的通道、再修补入口、然后按可信备份整体回滚，最后才是加固与复核。多数反复被挂马的站点都栽在第一步：先删文件。
安全机构在这一轮针对内容管理系统的通报里给出两句原则：立即修补受影响的平台与扩展（Popular CMS platforms include WordPress, Joomla, and Craft CMS 是通报点名的常见目标），以及从已知良好的备份恢复被入侵的站点（Restore compromised websites from known-good backups）。这两句是顺序的依据。
第一步：确认入侵面而不是先删文件
删掉一个可见脚本前，先固定四件事：文件的时间戳与路径、Web 服务器与 PHP 或应用进程日志里对应时段的请求、最近一次版本或配置变更、后台账号列表与计划任务。
这一步的产出是”入口猜测”：是未授权上传被利用、弱口令被爆破、还是已知问题没有被修补。入口没确认就清理，等同于不知道门锁怎么被打开就把家具换了。
第二步：先修补，再谈恢复
顺序反了会出现”恢复完又被同一扇门进来”。通报把立即修补放在恢复之前，原因就在这里：只要入口仍是敞开的，任何清理动作都只是暂时的。
修补的对象包含系统本体与扩展两层，实践中扩展层更容易被忽略——系统更新记录在案，第三方扩展与模板的来源与版本常常没人管。修补完成后，才进入恢复动作。
第三步：从已知良好的备份回滚
“已知良好”要求你能说清三件事：这份备份的时间点在你确信的入侵时间之前、恢复步骤可以重复执行、恢复内容包含数据与上传的静态文件。
AnQiCMS 的备份与恢复是后台内置能力，数据连同静态文件一起纳入备份范围。这个设计在应急时价值最直接：只恢复数据库的备份会让文章在、附件空，而附件目录恰恰是被写入脚本的高发位置。
就地清理在什么情况下可以接受？只有当你能确认写入口只有一个、且脚本只出现在可枚举的少数文件时才可行，其余情况一律建议回滚。清理之后仍要做持久化排查：新增账号、计划任务、模板文件里的隐藏输出、上传目录中可执行文件。
| 阶段 | 动作 | 完成判据 |
|---|---|---|
| 止血 | 收紧后台入口与写入权限 | 攻击方无法继续写入新文件 |
| 修补 | 系统本体与扩展升到修复版本 | 受影响组件版本可核对 |
| 回滚 | 用可信备份恢复整站 | 隔离环境验证过恢复结果 |
| 轮换 | 换签名配置与全部管理员口令 | 旧会话与旧凭证全部失效 |
| 复核 | 日志、账号、任务、上传目录 | 四项均留有检查记录 |
第四步：加固要从凭证开始
升级到修复版本只关闭了新利用路径，不撤销已拿到的会话。凭证轮换的顺序很关键：先轮换各站点的签名密钥，让此前签发的票据全部失效，再修改全部管理员口令，并要求所有管理账号重新登录。
AnQiCMS 在 v3.6.6 的升级提示里就是按这个顺序写的：该版本修复了列表排序参数注入与站点切换登录凭证可被伪造两项高危问题，同时要求轮换各站点签名配置并修改全部管理员口令。内置的 JWT 认证、内容敏感词过滤与防采集干扰码属于常态防护层，负责在日常运行中收窄 SQL 注入与 XSS 这类入口。
最后把对外表述统一收一遍：全站替换工具可以批量替换关键词或链接，**马期间发布的内容里常夹着不该留下的外部锚文本与措辞，逐篇改成本高，批量替换后抽样复核更可控。
常见问题
问：能不能只做文件监控，不做修补？ 答：不能。监控只告诉你被改了，不阻止被改；入口未修补时，告警会持续重复。
问：恢复后怎么确认干净？ 答：看三点——备份时间点是否早于入侵时间、恢复后是否出现同类文件、可疑时段日志有无新增成功登录。三条都能回答才算闭环。
问：要不要换主机？ 答：只有在服务器层被拿下时才需要。判断依据是是否存在站点之外的异常进程与账号，仅凭站内脚本不足以得出这个结论。