網站遭受駭客攻擊 (SQL 注入、XSS、惡意重定向、隱藏鏈接、駭客頁面) 後，Google 提供一套**免費、權威、可操作**的發現與恢復工具鏈。本文整理官方指引，助站長快速止血、清理、申請複審、長效防護。
一、駭客攻擊兩大主流手法與代碼層防禦
| 攻擊類型 | 原理 | 代碼層防禦 (關鍵：輸入驗證 + 輸出編碼 + 參數化) |
|---|
| SQL 注入 (SQLi) | 在輸入點 (URL 參數、表單、Cookie、Header) 植入惡意 SQL，繞過驗證/竊取/篡改/刪除數據庫 | • **參數化查詢 / 預編譯語句** (PDO、PreparedStatement、ORM) — 核心防線
• **輸入白名單驗證** (長度、類型、格式、字符集)
• **最小權限數據庫帳戶** (唯讀/讀寫分離、禁用危險存儲過程 xp_cmdshell 等)
• **WAF 規則集** (OWASP CRS) 虛擬補丁 |
| 跨站腳本 (XSS) | 在頁面注入惡意 JS，竊取 Cookie/Session、鍵盤記錄、釣魚、惡意重定向、挖礦 | • **輸出上下文編碼** (HTML/JS/CSS/URL/Attribute) — 核心防線
• **內容安全策略 (CSP)**：`script-src 'self'; object-src 'none'; base-uri 'self';`
• **HttpOnly + Secure + SameSite=Strict/Lax** Cookie 屬性
• **DOMPurify / HTMLSanitizer** 富文本過濾
• **避免 innerHTML/危險 API**，用 textContent/框架安全綁定 |
二、CMS/框架安全維護鐵律
- 核心/插件/主題/依賴 必須保持最新版** (WordPress、Joomla、Drupal、Magento、Laravel、Django、Spring Boot 等)。
- 訂閱官方安全公告郵件列表 / RSS / Twitter / Slack/Discord 社群。
- 移除未使用的插件/主題/模組，**減少攻擊面**。
- 使用掃描工具**：WPScan (WP)、Droopescan (Drupal)、JoomlaScan、OWASP ZAP/Dependency-Check/Dependabot/Snyk (依賴漏洞)。
- 參考社區權威指南：
• WordPress: Hardening WordPress
• Joomla: Security Checklist
• Drupal: Security Advisory
三、Google 官方工具鏈：發現與確認被黑
- Google Search Console (GSC) — 核心入口
• 驗證網站所有權 (HTML 文件/元標記/DNS/TXT/GA/GTM)。
• 「安全問題」報告：Google 檢測到的惡意軟體、社交工程、有害下載、代碼注入、內容注入、重定向等，**具體受影響 URL 列表、截圖、診斷詳情**。
• 「手動處置」報告：人工審核發現的垃圾內容/鏈接計劃/結構化數據濫用等，**需提交複審請求**。
- Google 安全瀏覽網站狀態查詢
• 訪問 https://transparencyreport.google.com/safe-browsing/search?url=你的域名，查看是否被列入惡意軟體/社交工程/不需要軟體名單。
- site: 搜索指令快速自查
• `site:yourdomain.com` 查看收錄頁面是否有異常標題/描述 (如「偉哥」「賭博」「色情」「MP3」「免費下載」)。
• `site:yourdomain.com inurl:admin` / `inurl:login` / `inurl:wp-admin` 發現隱藏後台/釣魚頁。
• `site:yourdomain.com "viagra" OR "casino" OR "porn" OR "malware"` 關鍵詞掃描。
- Google 索引覆蓋率報告：GSC → 「索引」→「覆蓋率」，關注「錯誤」「有效但有警告」頁面，可能被植入無感知頁面。
四、被黑後標準恢復流程 (NIST 800-61 輕量版)
- 隔離：站點維護模式/關閉 Web 服務/修改 DNS 指向靜態頁面，阻止繼續傳播惡意代碼/垃圾郵件/釣魚。
- 取證**：完整備份當前文件系統、數據庫、日誌 (Web/應用/數據庫/作業系統/防火牆/WAF)、進程/網絡連接快照。**嚴禁在受感染環境直接操作修復**。
- 根因分析**：
• 訪問日誌 + WAF 日誌 → 定位初始攻擊請求 (IP、UA、Payload、參數、時間)。
• 代碼審計：對比乾淨版本 (Git/備份) → 發現被篡改文件/注入腳本/新增後門/權限提升。
• 檢查：FTP/SSH/面板/數據庫/管理後台 是否有弱口令/暴力破解/憑證洩露/漏洞利用痕跡。
• 掃描：ClamAV/Maldet/Linux Malware Detect + YARA 規則 全盤掃描 Web 目錄。
- 清理與修復**：
• **推薦：從乾淨備份/版本控制還原** (Git checkout / 數據庫還原 / 文件同步)，而非手工清理 (極易遺漏)。
• 更新核心/插件/主題/依賴至最新安全版本。
• 修復漏洞代碼 (參數化、編碼、CSP、權限)。
• 重置**所有憑證**：數據庫/管理後台/FTP/SSH/面板/API Key/服務帳戶/第三方集成密鑰。
• 移除未授權用戶/管理員帳戶、異常計劃任務/定時任務/系統服務。
- 驗證**：掃描器復掃、手工滲透測試關鍵路徑、功能回歸測試、Google 安全瀏覽複查 (GSC 請求複審)。
- 恢復上線**：解除維護模式、恢復 DNS、監控流量/錯誤率/安全事件 48h。
- 複盤與整改**：產出事件報告 (時間線、根因、影響範圍、損失評估、修復動作、殘留風險、改進措施、責任人、截止日期)，納入知識庫、更新應急預案、全員通報關鍵教訓。
五、長效免疫：持續防護體系
- DevSecOps 落地**：SAST (SonarQube/Checkmarx/CodeQL) + DAST (OWASP ZAP/Acunetix) + SCA (Dependabot/Snyk/OWASP Dependency-Track) 集成 CI/CD，阻斷漏洞上線。
- WAF 永久在線**：雲 WAF (Cloudflare/阿雲盾/AWS Shield/Akamai) 或本地 (ModSecurity+CRS/OpenResty+Lua)，虛擬補丁 0-day 防護。
- 文件完整性監控 (FIM)**：Tripwire/AIDE/OSSEC/Wazuh/Qualys 監控 Web 目錄/關鍵配置文件異動，實時告警。
- 定期滲透測試 + 紅藍對抗**：年度全量 + 重大上線前增量。
- 供應鏈安全**：SBOM 生成、依賴簽名驗證、可重現構建、最小權限基鏡像 (Distroless/Alpine/Scratch)。
- 備份 3-2-1 + 定期恢復演練**：數據庫/文件/配置/代碼/憑證全覆蓋。
Google 不是救世主，而是**鏡子與放大鏡**。真正的免疫力來自：**代碼規範、依賴治理、最小權限、加密傳輸、持續監控、自動化測試、備份演練、應急閉環**。被黑不可怕，可怕的是**不查根因、不修漏洞、不改流程、下次再中**。