发现网站异常后的正确顺序是：先隔离止损，再取证，再清理，再改密，再对外通报，最后才处理索引恢复。很多工厂的顺序是反的——先想着怎么把页面恢复好看，结果样本被覆盖、后门没清干净，几天后二次入侵。另外要分清三种不同性质的问题：被挂马（你的站被注入）、被镜像（别人复制你的内容冒充你）、被 DDoS（打不开）。三种的处理方式完全不同。
一、先判断是哪一类
被挂马 / 被入侵： 页面出现不是你写的内容（博彩、药品、外链）、跳转到陌生站点、后台出现异常管理员账号、服务器出现异常进程。Search Console 可能收到安全问题提醒。
被镜像 / 被仿冒： 出现一个域名近似你、内容几乎完全复制你网站的站点，可能连联系方式都改成骗子的。买家搜你公司名时会看到两个结果，甚至假站排在前面。
被 DDoS / 资源耗尽： 网站打开极慢或直接超时，但内容没有被改动。
快速判断方法： 看内容有没有被改。内容被改是入侵，内容没变但打不开多为资源攻击，出现另一个域名复制你则是镜像。
二、应急六个动作，按顺序做
动作一：隔离。 立即把站点切换到维护页或临时关闭，阻止继续传播恶意内容和继续窃取数据。如果网站上有买家正在填写的表单，这一步尤其重要——继续运行等于继续泄露询盘信息。
动作二：取证。 在清理之前，先把现场保留下来：整站文件备份一份、数据库导出一份、服务器访问日志留存一份。这些是后续溯源和判断损失范围的唯一依据。跳过这一步直接清理，等于销毁证据。
动作三：清理。 两条路可选：
- 有干净备份： 直接用入侵前的完整备份还原。这是最干净的方式，前提是你能确认备份本身没有被污染。
- 没有干净备份： 需要逐项排查——对比核心文件与官方原版的差异、检查主题和插件目录里的可疑文件、查数据库里被插入的脚本、查后台用户表里新增的账号、查定时任务。
注意： 只删掉页面上的可见违规内容是不够的。后门通常藏在主题文件、上传目录或数据库里，不清干净必然二次入侵。
动作四：改密。 全部改一遍：服务器/主机后台、FTP/SFTP、数据库、网站后台所有管理员账号、邮箱账号。同时清理后台里不存在的人员账号，开启双因素认证。
要点： 改密必须在清理之后进行，且要用全新密码，不要复用旧密码的任何变体。
动作五：对外通报。 如果询盘数据可能泄露，需要主动通知近期有过询盘的客户，提示警惕以你公司名义发来的变更账户信息。这一步很多工厂不愿意做，但它的成本远低于一次被骗货款。
镜像站场景下，通报更重要： 在官网首页、LinkedIn、B2B 平台档案上发布声明，说明官方域名与联系方式，提醒客户注意仿冒站点。
动作六：恢复索引。 在 Search Console 里：确认安全问题已解决后提交审核、重新提交站点地图、对被注入的垃圾页面用网址移除工具临时处理（并确保这些地址返回 404 或 410）、检查搜索结果里的站点链接描述是否被改。
顺序提醒： 索引恢复放最后。站点还没清干净就提交审核，会被驳回并延长整体恢复时间。
三、镜像站与仿冒域名怎么单独处理
镜像站的特殊性在于：你无法直接修改对方的服务器。可选动作：
收集证据并投诉。 向域名注册商、托管服务商提交侵权投诉（品牌名、公司名、内容版权）；向 Google 提交版权移除请求。
检查对方是否盗用了你的品牌实体。 在搜索结果里如果假站排在前面，说明检索系统对该域名的实体认知出现了混淆。这种情况下，强化你自己官方渠道的一致性（官网、LinkedIn、行业目录、B2B 平台）比单纯投诉更有效。
不在公开渠道与对方交涉。 直接联系对方可能暴露更多联系方式，也可能被对方利用。
提醒买家核实。 在报价单、邮件签名、官网上明确标注唯一的官方域名与收款账户，并说明「任何变更账户的要求都会通过电话二次确认」。
四、四条日常预防
预防一：保持更新。 绝大多数入侵利用的是已知漏洞的过期插件、主题或 CMS 核心版本。定期更新是最有效的预防手段，成本也最低。
预防二：收敛权限。 后台只保留必要账号，不用 admin 作为用户名，每人一个账号，离职即删除。开放不必要的文件编辑权限会放大风险。
预防三：定期备份并用得上。 备份要有固定周期、要多点存放（不要只存在同一台服务器）、要定期验证能否还原。很多工厂有备份但从没验证过，真出事时发现备份是空的或半年前的。
预防四：开启监控。 在 Search Console 里绑定并开启安全类提醒；有条件的话做文件完整性监控和可用性监控。发现得越早，损失越小。
五、 recovery 之后要复盘的两件事
第一件：入口在哪。 是被爆破的弱密码、还是过期插件漏洞、还是被入侵的第三方插件、还是主机商层面的问题。找不到入口，改完密码也只是拖延。
第二件：损失范围。 询盘数据有没有被导出、有没有被植入针对你客户的钓鱼页面、有没有被加入垃圾外链导致后续被搜索引擎处罚。
需要排查网站安全与恢复索引，可以联系 SEOAI · 探索者SEO顾问团队，电话/微信 15617834052，邮箱 931519643@qq.com，或看我们的外贸建站服务。
常见问题
网站被攻击后第一步该做什么？
先隔离止损——切到维护页或临时关闭，阻止恶意内容继续传播和询盘数据继续泄露。然后才是取证（备份文件、数据库、日志）、清理、改密、通报、恢复索引。跳过取证直接清理会销毁溯源依据。
删掉页面上的违规内容就算清理完了吗？
不算。后门通常藏在主题文件、上传目录或数据库里，只删可见内容必然二次入侵。要么用确认干净的备份整站还原，要么逐项排查核心文件差异、可疑上传、数据库注入、新增后台账号和定时任务。
发现有网站完整复制我的内容冒充我，怎么办？
这属于镜像或仿冒。收集证据向域名注册商、托管商提交侵权投诉，向 Google 提交版权移除请求；同时在官网、LinkedIn、B2B 平台发布声明说明唯一官方域名与联系方式。不要直接与对方交涉。
什么时候该通知客户？
只要询盘数据可能泄露，就应主动通知近期询盘客户，提示警惕以你公司名义发来的账户变更要求。很多工厂不愿做这一步，但它的成本远低于一次被骗货款。
怎么降低再次被攻击的概率？
四条：保持 CMS、主题、插件更新（多数入侵利用已知漏洞）；收敛后台权限，一人一号、离职即删；定期备份并验证可还原；开启 Search Console 安全提醒与可用性监控。