自己做的网站主页被人篡改，这滋味比吞了苍蝇还难受。看着辛辛苦苦敲的代码、熬大夜调的排版，突然变成满屏的博彩广告或者乱七八糟的弹窗，心里那股火蹭蹭往上涨。别急着骂娘，更别急着找外包公司花大价钱，这事儿咱自己就能搞定大半。这篇文不整虚的，直接告诉你怎么把被篡改的页面救回来，顺便把漏洞堵上，省下的钱够吃好几顿火锅了。
前两天，我有个做建材的朋友老张，半夜给我打电话，声音都颤了。他说他那个刚上线半年的官网，早上打开一看，首页全变成了赌博网站。老张急得直拍大腿，说那是他半条命啊。我让他先别慌，第一步，断开服务器连接，或者在后台把网站设为维护模式。这时候千万别急着登录后台改代码，因为你根本不知道黑客留了多少后门，你改一处，他可能已经在别处留了三个入口。
咱们得先搞清楚是怎么进来的。大多数时候，不是黑客技术多高深，而是咱们自己太大意。老张那事儿，最后查出来是因为他为了省事，用了个破解版的CMS系统，而且数据库密码还是“123456”。这种低级错误，害人不浅啊。当你发现“自己做的网站主页被人篡改”时，第一反应应该是检查文件权限。很多新手把网站目录权限设成了777，等于告诉黑客：“随便进，随便改”。正确的做法是，网站目录权限设为755，文件权限设为644，只有上传目录需要特殊处理，但也别给太高权限。
接下来就是清理工作。别指望一键修复，那都是骗人的。你得一个个文件去核对。如果用的是WordPress，重点检查wp-content/themes和wp-content/plugins这两个文件夹。把最近修改过的、没见过的文件全部删掉。代码里经常藏着一行base64编码的恶意脚本，看着像乱码，其实那是黑客的定时炸弹。用记事本或者代码编辑器打开，搜索eval、base64_decode这些关键词，看到可疑的立马删掉。这一步挺费眼，但必须得细，漏一个，下次还得被改。
清理完文件，还得换个思路。很多人以为改个密码就万事大吉了，错！大错特错。黑客可能已经拿到了你的服务器SSH密钥，或者在服务器层面留了反弹shell。所以，必须改密码，而且是那种带大小写、符号、数字，长度超过12位的强密码。数据库密码也要换。还有，检查你的.htaccess文件，有时候黑客会在这里重写规则，把你正常的访问跳转到恶意页面。把默认的.htaccess备份后，重新生成一个干净的。
说到这，还得提一嘴备份的重要性。很多兄弟觉得备份麻烦，懒得弄。等被篡改了才想起来找备份，结果发现备份也是被改过的，或者根本没备份。这时候你就只能从头再来，那才叫崩溃。建议搞个自动备份插件，每天凌晨三点自动把网站文件和数据库打包传到云盘或者另一台服务器上。这样就算这次没防住，下次也能秒级恢复，损失降到最低。
最后，心态要稳。被篡改不是世界末日，而是给你提了个醒。网络安全这事儿，就像防盗门，装上了不代表永远没事，但能挡住大部分想顺手牵羊的人。定期更新程序，别用盗版插件，别在公共WiFi下登录后台，这些老生常谈的话，你得听进去。
要是你正面临着“自己做的网站主页被人篡改”的困境，按照上面这几步走，基本能解决80%的问题。剩下的20%，如果实在搞不定，再找专业的人也不迟，但得先学会怎么辨别是不是被坑了。别怕麻烦，网站是你自己的脸面，得用心护着。记住，安全无小事，防患于未然，总比事后补救强得多。这事儿急不得，一步步来，总能弄好的。
