網站懷疑被入侵點算？附免費PHP／WordPress應急及復原清單
網站突然跳去陌生頁、出現未知管理員或被主機商暫停，應盡快保存證據並聯絡維護人員。單純更新PHP，不能當作已移除後門或確認資料沒有外洩。本文提供一般應急與交接清單，更新：2026年11月2日。
先分清懷疑、證據與原因
異常跳轉、未授權帳戶、惡意內容或供應商警告都值得調查，但不應未查證便說一定由某個PHP漏洞造成。記錄觀察到的事實、來源與時間，將「尚未確認」與「已核實」分開。網站更新後出錯亦可能是兼容性問題，需要不同排查。
第一階段：保存與限制影響
□ 1. 記錄發現時間、時區、網址、症狀、截圖及最近變更。 結果應有可追溯的時間線；證據無法保存時交維護人員協助。
□ 2. 聯絡主機商、網站維護人及內部業務負責人，指定事故統籌人。 結果應有統籌人及聯絡安排；涉及敏感資料時立即邀資安專家。
□ 3. 由技術人員保存日誌、檔案與資料庫快照，限制證據存取；未知檔案先保留，不急於刪除。 結果應保存受控證據副本；無技術權限或證據可能流失時交主機商。
□ 4. 按風險限制受影響網站或交易，提供安全的聯絡方式；避免讓其他流程繼續擴大影響。 結果應界定受限服務及安全聯絡途徑；影響付款或個資須由事故專家決定隔離。
第二階段：找入口與處理持續存取
□ 5. 核對管理員、登入、檔案變更、排程、外掛及設定，追查未授權活動。 結果應有可核對的異常活動清單；發現陌生帳戶或持續存取交資安專家。
□ 6. 評估受影響系統與資料範圍；沒有足夠日誌時保留不確定性，不宣稱零外洩。 結果應記錄已知影響與未知範圍；日誌不足或涉及客戶資料時升級專業調查。
□ 7. 修補入口並移除惡意程式或從可信來源重建；避免只刪可見惡意頁。 結果應有入口修補及清理／重建證據；無法確認後門清除時交事故專家。
□ 8. 從可信裝置更新相關密碼、金鑰及工作階段，按事故範圍處理，避免把新憑證輸入仍受侵環境。 結果應記錄已輪換憑證與撤銷的工作階段；環境可信度未明時由專家安排次序。
免費領取：網站事故紀錄與復原驗收清單
Word範本提供12項分階段清單、事故時間線、證據位置、影響範圍、負責人及復原簽收欄，方便內部與專業團隊交接。資源經電郵提供；須填Email、用途並勾選Allua不定期行銷資訊訂閱，可隨時取消。
第三階段：驗證復原，才重新開放
□ 9. 選用合適的可信備份或重建版本，核對備份時間與可能入侵時間，不把「最新」當作「乾淨」。 結果應有備份可信度及一致性核對；時間線不明時不要自行還原，交專業人員評估。
□ 10. 檢查表格收件地址、付款設定、DNS、重新導向、管理員及整合金鑰是否被改動。 結果應逐項確認設定與授權一致；發現錯送或付款更改立即交資安及業務負責人。
□ 11. 測試訪客、登入、查詢及交易流程，核對通知與後台記錄，確認修補實際生效。 結果應有各流程記錄、通知及修補證據；任何失敗交維護團隊，不以首頁正常作結。
□ 12. 記錄重新開放決定、監察期間及異常處理人；按需要由適當專業人員評估通知、合約及資料保護責任。 結果應有具名重新開放決定與監察計劃；通知／合約／資料保護問題交適當專業人員。
事故紀錄應包含甚麼？
每項紀錄包括：時間及時區、觀察到的事實、證據位置、執行者、採取措施及結果。示例：14:20 HKT客戶回報跳轉；14:28維護人員確認特定路徑出現未授權跳轉；14:35主機商保存日誌。此例只是格式示範，不代表已確認攻擊來源或資料外洩。
常見問題
Q：掃描乾淨就可以結案嗎？
A：不能單靠掃描。仍要處理入口、持續存取、權限與業務驗收。
Q：更新PHP後就安全嗎？
A：更新處理特定漏洞，不會自動移除已存在的後門或撤銷被盜憑證。
Q：應否立即還原備份？
A：由專業人員按證據保存、備份可信程度、資料一致性及業務影響決定。
Q：甚麼時候要找資安事故專家？
A：涉及客戶資料、付款、重複入侵、多系統影響或無法確認清理範圍時，應及早升級處理。
需要網站維護交接？
可向Allua提出網站維護及復原驗收範圍查詢，提供網址、主機、症狀、時間及現有維護安排。涉及持續入侵或敏感資料時，同步聯絡有事故處理經驗的專業團隊；不要透過公開表格上載機密日誌。查詢：https://zh.alluatech.com/contact-us#SITE_FOOTER
官方參考
PHP安全公告：https://www.php.net/
免責聲明
本文資訊根據一般情況及截至文中更新日期可取得的資料整理，僅供一般參考，不能取代針對個別系統的專業評估。不同網站的主機環境、PHP版本、設定、外掛及整合均可能不同；採取更新、設定修改、復原或其他措施前，請諮詢專業網站開發人員或主機供應商，由其評估你的具體情況並決定適當行動。如懷疑遭入侵，亦應尋求具備資安事故處理經驗的專業人員協助。
留言