客户是做机械配件批发的，官网流量不大，三个月没登录过后台。上周他的海外客户发邮件问：你们网站怎么在卖假药？一查才知道，网站被人塞了成片的垃圾医疗页面，谷歌收录了几百条，而他自己毫不知情——被挂马到发现，整整拖了三天。这三天里，网站安全防护的每一个盲区都被踩了个遍。
漏洞是从哪进来的
排查结果并不意外：三年前外包做的建站系统，某个表单组件爆过注入漏洞，官方早发了补丁，没人更新。攻击者拿到权限后没动首页，只在深层目录里批量生成垃圾页面，专等搜索引擎收录。这类攻击的思路就是拖着——动静越小，收割越久。
顺带说一句那个表单组件的问题：漏洞公告是三年前发的，如果当初签一份带维护的合同，或者哪怕订阅一下建站系统的更新推送，这事在三年内任何一天都能拦住。安全事件回头看，几乎都有这么一个“当初顺手做一下就行”的节点。
为什么三天都没人发现
- 没人定期登录后台，也没有访问日志告警
- Google Search Console的安全提醒邮件进了垃圾箱
- 首页看着正常，老板和客服每天打开的都是首页
垃圾页面本身也很会藏：它们不挂导航链接，只靠站内随机跳转和站点地图喂给搜索引擎，肉眼浏览网站永远碰不到，只有site语法搜索或者日志分析才能看到痕迹。这也是我们坚持把日志巡检放进托管服务的原因。
说白了，被挂马的站点几乎都不是“防不住”，而是“看不见”。网站安全防护的第一层不是防火墙，是监控。
清干净比想象中麻烦
处理那天我们做了四件事：从最近一次干净备份恢复整站，打上迟到三年的补丁，全库扫描删除残留的垃圾文件，接着向谷歌提交重新审核。收录清理又花了差不多一周，期间部分关键词的排名还是掉了。算下来这一单的直接损失是清理费用加一周的询盘空窗，比每年做安全维护贵了好几倍。
恢复备份有个前提容易被忽略：备份本身得是干净的。如果挂马发生在最近一次备份之前，恢复等于把马一起请回来，所以要按日志时间点往前多翻几个备份，验证过再恢复。
建议
至少给网站配两样东西：Search Console的安全提醒转发到有人看的邮箱，以及每月一次的后台登录巡检。没有精力维护的，把网站安全防护交给比格网络做托管，漏洞监控加每月巡检，出问题半小时内有人响应，比事后清理便宜。巡检别流于形式，每次都要真登录后台翻一遍最近的文件改动，光看首页不算巡检。
