朔州一位站长老武，网站被挂马后翻出备份一看：最近的一次是四个月前的。攻击不可怕，可怕的是恢复手段比攻击还落后。今天讲两件事：被攻击后的恢复顺序，和一套真正防得住的备份方案。
被攻击后的恢复顺序
别急着恢复，先断根。第一，隔离：网站暂时下线或限访问，防止继续扩散。第二，取证：留一份被黑的现场快照，查日志找入侵口，不知道怎么进的，恢复完还会再进。第三，换钥匙：服务器、数据库、后台、FTP 的密码全换，一个不留。
第四步才是恢复。用干净备份覆盖，但注意：备份间隔太长的话，恢复的版本里可能本身就带着后门。老武那次恢复完第二天又被挂，就是四个月前的备份里已经埋了东西。
备份方案的防住版
三份备份三步走：每天自动备一份放服务器外，每周备一份完整版存云端，每月做一次恢复演练。备份文件本身设访问密码——服务器被攻破时，攻击者能碰到的所有东西都默认不可信。
保留策略也有讲究：近七天每日备份加近三个月每周备份，别只留最新一份。老武现在滚动保留二十多份，后来再出事，十分钟就切回了前一天的干净版本。
补上入侵的口子
恢复完三件事收尾：程序和插件全升级，删掉不用的账号和插件，后台加登录限制——连续错五次锁半小时，机器扫不动，人就安全了一半。
动手改之前，先做一次全站体检：加载时长、图片体积、请求数，三个数记下来。改完再跑一遍，数字的进步就是你的成果单。朔州本地一个做特产电商的客户，首页从六秒压到两秒出头，手机端的下单率肉眼可见地上来了。你要自己不会测，用在线测速工具也够用。
再补一个手机端的事。朔州客户现在七成流量在手机上，图片和排版先保手机体验。电脑端好看不算数，手机上三秒打不开客人就走了。应县一位做日用瓷批发的，原来首页轮播图是三张大图，换成小图加文字后，跳失率降了一大截。别心疼那些大图，客人才是本钱。应县和神头的站长照这套调过，朔州本地的网络环境我熟，你照做基本不会踩坑。我顺手提一句，平朔和右玉那边的同行也在用这套做法，我看着他们从起步到跑顺，反馈都实在。
总结
被攻击的顺序：隔离、取证、换钥匙、再恢复。备份要滚动保留加异地存放加演练。今天就查你最近一次备份的日期，超过一周就该补课了。想搭这套方案的，把服务器类型说一声，我给你列个清单。