崩溃或入侵后的站点恢复

我在故障或入侵后使网站恢复工作，每次都从同一个地方开始：完整备份当前状态，准确反映现状，包括损坏和感染。只有在此之后才会进行任何操作。第一个问题从来不是“我们如何再次开放”，而是“这里到底发生了什么”——是托管故障、更新失败，还是其他人的访问。答案决定了后续的一切：坏的更新会被回滚，入侵则不会，因为你可能回滚到的文件已经携带了陌生人的门。

然后是工作的可见部分。要么恢复健康的备份，要么从幸存的内容中组装出一个工作版本——数据库、上传的文件、干净的引擎副本，主题是重建而不是信任。我会遍历整个网站，寻找外部文件和数据库中的插入：仅对手机访客或搜索机器人触发的重定向、隐藏页面、粘贴到模板和小部件中的脚本、没人记得创建的管理员账户。所有访问权限会同时更改——托管面板、数据库、管理员账户、文件传输、任何从外部连接的密钥——然后入口本身被关闭：过时的组件、弱密码、坐落在公共文件夹中的被遗忘的上传器。

之后，我会查看所有者通常会太晚才了解到的事情。域名在你失去控制时是否被用于邮件发送，现在是否在黑名单中，以至于普通客户的信件悄然停止到达。备份是否正常运行，是否有人尝试过从中恢复。是否有任何东西会在访客之前告诉你重复发生的事情。备份和简单监控作为工作的一部分被设置，工作以简短的书面报告结束：发生了什么，做了什么，以及留给你决定的事项。

我在一开始就说三件事，因为它们是之后会花钱的事情：
— 在任何干预之前，必须按原样备份网站——没有它，痕迹就消失了，无法回滚，匆忙的清理通常是原因从未找到的原因；
— 如果客户数据可能被暴露，我会立即以书面形式告知你；你的义务是什么以及按什么顺序行动是你律师的问题，而不是我的；
— “清理后忘记”是行不通的：只要入口仍然开放，网站在几天内就会再次被破坏，而第二次清理的成本超过第一次。