发现网站篡改、挂马或疑似WebShell时，先保护访客和业务数据，再查明入口。只删除异常文件可能让攻击者继续使用已泄露的账号或其他持久化方式。

控制影响并保留证据

依据业务情况限制受影响入口或切换可信页面，记录发现时间、异常URL与告警。保存必要的日志、文件和系统信息，限制证据访问；不要在尚未分析前覆盖全部现场。

排查入口和控制范围

核对新增文件、账号、任务、授权密钥和依赖版本，检查服务器、云平台与第三方服务。异常文件名不是唯一判断依据，结合访问记录与业务变更区分正常更新。

从可信状态恢复

修复入口和相关权限，轮换可能泄露的密钥，在可信环境恢复文件与数据库并验证。必要时重建环境，避免把受污染备份重新上线。恢复表单、通知与监控后再逐步开放访问。

复盘形成可执行改动

记录时间线、影响、原因、处理证据和后续责任。检查搜索页面是否残留被篡改内容，按平台流程更新；事故说明与通知根据实际情况和适用要求处理，不能以恢复首页证明全部问题解决。

恢复前先确认可信边界

保留必要证据，隔离受影响环境并评估账号、配置及其他主机是否被波及。

从可信备份恢复并修正入口，轮换受影响凭据，不能删除恶意文件后立即宣布事件结束。

例如只删掉恶意首页而未轮换泄露密钥，攻击者可能再次写入，恢复应处理持续入口。