石嘴山管网站的，哪天突然发现站点被篡改、被挂马，头几分钟怎么做，决定了损失大小。别慌着先删东西，按四步走。
第一步：断源
先把后台、数据库的写权限停了，改掉相关密码。门还开着，屋里的事理不完。攻击还在持续的话，临时把站点停了或设维护页，业务损失和持续被黑比，两害取其轻。
第二步：留证
把被改的页面、日志导出来存档。别急着把脏东西全删了，日志里藏着攻击路径和时间，后面加固全靠它。截图加日志打包存到自己电脑，几分钟的事。
第三步：恢复
拿备份恢复。用之前确认备份是干净的——比被攻击时间早的那份。这就是为什么备份要留多个时间点，只有最新一份的话，那份可能也是脏的。恢复后先在内部访问验证，别急着重开。
第四步：加固
按日志查入侵路径：是弱密码、旧程序漏洞还是被拖库。对准入口补：改密码、升程序、关端口。不查路径就恢复，等于把门重新开给同一个人，过几天还来。
平时就该备好的：多时间点备份、异地一份、监控告警。这三样齐了，被攻击就从大事故变成半小时的例行处置。
再说个实在的判断法子。你把这事的成本和省头写在一张纸上，左右两栏对着看，看得清的才做，看不清的先缓缓。惠农有几家老板就这么干，纸写满了才找我聊方案，谈起来句句在点上，谁也绕不了他。
大武口一位做设备的老哥跟我说过一句话，我一直记着：钱要花在看得见回报的地方，看不见的先记账。先小步试，试通了再加码，比一步到位稳当得多，这个理放在哪一行都站得住。
本地也有走弯路的例子。平罗一家企业听人说啥好就上啥，一年换了三套系统，账全乱了，临了还是回到纸上先把流程画明白。工具是跟着流程走的，不是流程跟着工具跑，这个先后你要是拧了，多花的每一分都是学费。
执行的时候有个土办法：定个每周固定的半小时，专门看这事的数据。别天天盯，也别一月才看一眼，半小时看完记三行字：哪里好了、哪里卡了、下周动哪。三个月下来你自己就是半个行家。
总结
石嘴山的站长被攻击后记四步：断源、留证、用干净备份恢复、按日志补漏。平时备好三样：多份备份、异地存放、告警开着。现在就可以做的：查一眼备份留了几个时间点，不够的今晚补上。