網站被駭怎麼辦？我處理上百次入侵整理出的 SOP

我管理的網站超過 4,000 個，大多數是 WordPress。這些年處理過的入侵，多到我已經懶得算了：外掛資料夾裡多出一個名字亂碼的外掛、首頁原始碼裡藏著幾十個看不見的賭場連結、半夜冒出一個沒人認識的管理員……幾乎什麼型態都碰過。

如果你現在正慌張地搜尋「網站被駭怎麼辦」，我想先告訴你一個多數教學不會講的觀察：我們處理過的「一直重複被駭」的網站，絕大多數不是程式有漏洞，而是管理員的帳號密碼外洩了。攻擊者拿著正確的帳密從大門走進後台，裝一個看起來像快取或流量分析工具的外掛，整個過程常常不到一分鐘。

這就是為什麼很多人「清完又中」。網路上大部分的教學都在教你掃描、刪檔、還原，卻很少教你判斷入口在哪。入口沒關，清得再乾淨也只是幫小偷打掃房間。下面是我們實際在用的處理順序，從判斷、止血、清除到防止再犯，一步一步講。

怎麼判斷網站是不是被駭了？

只要出現下面任何一種狀況，就應該直接當成入侵事件處理，不要等「再觀察看看」。

為什麼我自己看網站一切正常，客人卻說被導走了？

因為很多惡意程式會「挑人」。它會判斷你是不是已登入的管理員、是不是用手機、是不是從 Google 點進來，只對特定對象動手。Google 搜尋中心在 2015 年分享過一個案例：被駭頁面只會顯示給搜尋引擎的爬蟲看，網站主人、主機商、甚至掃描工具都沒發現，最後是查 .htaccess 設定檔才找到依照瀏覽器身分轉址的規則。

同一篇案例還提到一個很容易被忽略的細節：Google Search Console 把有 www 和沒有 www 的網址當成兩個不同的網站。如果你只驗證了其中一個，藏在另一邊的垃圾頁面你可能永遠看不到。

所以判斷時請用「別人的眼睛」看：登出、開無痕、換手機網路，從 Google 搜尋結果點進去，而不是直接打網址。

發現被駭後的第一個小時，該做什麼？

第一個小時的目標只有兩個：止血和保留現場，不是清除。

• 先別急著刪檔案。你現在看到的每個怪檔案都是線索，刪掉就查不出攻擊者從哪裡進來。
• 評估要不要暫時關站。如果訪客正在被導去詐騙網站，或網站有金流、會員資料，可以先開維護模式或請主機商暫時限制存取，避免繼續傷害客人。
• 通知主機商。如果是共用主機，同一台機器上的其他網站可能也有狀況；主機商手上也有你看不到的存取紀錄。

網站被駭的 8 步驟處理 SOP

步驟 1：把現在的狀態完整備份一份

就算網站已經中毒，也要把所有檔案和資料庫整份打包下來，而且和你以前的舊備份分開放。這份備份不是拿來還原的，是拿來調查和比對的。萬一清錯東西，也還有原始狀態可以回頭查。

步驟 2：查出入侵的入口

這一步決定你會不會再中第二次。我們通常看三種紀錄：

• 登入紀錄：有沒有管理員帳號從平常不可能出現的國家或 IP 登入？登入時間是不是剛好在可疑外掛出現之前？
• 主機存取紀錄：可疑檔案第一次被呼叫是什麼時候、從哪個 IP 打進來？
• 外掛與主題版本：有沒有已公開漏洞卻還沒更新的元件？

如果你看到「某個管理員從國外登入，一兩分鐘後就多了一個外掛」，那幾乎可以確定是帳密外洩。要是登入紀錄完全正常，惡意檔案卻是從某個外掛的路徑長出來的，才比較可能是漏洞。下一節我會把兩者的差別整理成表格。

步驟 3：清除惡意檔案，而且不只清你看得到的

後門最常藏在這些地方：

特別提醒：有些後門會把自己從外掛列表和使用者列表裡藏起來，所以後台看起來乾乾淨淨，不代表真的乾淨。比較保險的做法是：WordPress 核心檔案用官方版本整份覆蓋，外掛和主題從官方或原廠重新下載安裝，而不是只刪掉你找到的那幾個檔案。

步驟 4：檢查資料庫，這是最多人漏掉的

我們遇過好幾次檔案層完全乾淨、掃描也全部通過，但首頁和文章內容裡藏著幾十個用 CSS 隱藏的賭場連結；也遇過整段惡意程式碼存在「程式碼片段」類外掛的資料表裡，檔案掃描根本掃不到。

資料庫至少要看：使用者列表和每個人的權限、文章與頁面內容裡有沒有可疑的連結或 script、網站設定裡有沒有不認識的項目、各種程式碼片段外掛裡存了什麼。

步驟 5：換掉被入侵的密碼，並把所有登入踢下線

• 被入侵的管理員帳號立刻重設密碼，陌生帳號直接刪除。
• 更換 wp-config.php 裡的安全金鑰（salts），讓所有現有的登入狀態全部失效。
• 主機、FTP、資料庫的密碼如果也可能外洩，一起更換；FTP 帳號清單也要看有沒有陌生帳號。

只換密碼、不踢登入，攻擊者手上的登入 cookie 很可能還能繼續用。這一步很多人做一半。

步驟 6：檢查你自己的電腦

這是 Hostinger 的教學裡有提、但很少人會做的一步。如果你的電腦中了會偷存密碼的惡意程式，你在網站上換再多次密碼，新密碼還是會被偷走。換密碼之前，先用防毒軟體把自己常用來登入後台的電腦掃一遍。

步驟 7：補上防護

• 所有管理員開啟兩步驟驗證（2FA）。這是對付帳密外洩最有效的一招，連找回密碼用的 Email 信箱也要開。
• 每個網站、每個服務用不同的密碼。共用密碼是撞庫攻擊最喜歡的目標。
• 移除不用的外掛、主題與帳號，剩下的更新到最新版。
• 不要用破解版外掛或主題。Google 的案例裡也特別點名，盜版元件常常一開始就內建後門。

步驟 8：請 Google 重新審查

確定清乾淨之後，到 Google Search Console 的「安全性問題」頁面提出審查。被灌的垃圾網址可以讓它回傳 404 或 410，必要時用移除工具加速。Google 的案例裡，第一次申請被退件，是因為還有檔案沒清乾淨，所以不要急著送，先確認再確認。

怎麼分辨是「密碼外洩」還是「網站漏洞」？

這兩種入口的處理重點完全不同，判斷錯了就會一直清不完。

兩種情況也可能同時發生，但照我們的經驗，帳密外洩的比例高得多。

為什麼網站清完又被駭？

根據我們的處理經驗，常見原因有四個：

1. 密碼沒換，或只換了一部分。攻擊者手上可能有不只一組有效帳號。
2. 換了密碼但沒踢登入。舊的登入狀態還活著。
3. 後門沒清乾淨。有些後門會在被刪除後自動重建，或把自己備份在資料庫裡，必須連「重建機制」一起拔掉。
4. 密碼在別的地方外洩。你在其他網站或服務用了同一組密碼，那邊被駭，攻擊者就拿來撞你的網站。

網站被駭，要不要通知客人？

如果網站有會員、訂單或任何個人資料，我的建議是：先用登入紀錄和存取紀錄確認攻擊者有沒有碰到這些資料，例如有沒有瀏覽訂單或會員列表。如果有外洩的可能，就應該依照個資相關法規處理並通知當事人。

Hostinger 的教學有一個我很認同的觀點：主動、透明地說明發生什麼事、你做了哪些處理、客人該注意什麼（例如換密碼），比被客人自己發現再來解釋，更能保住信任。

自己處理，還是找人處理？

如果你懂主機、看得懂紀錄檔，照上面的 SOP 自己處理沒問題。但下面幾種情況，我會建議找有實際處理經驗的人：

• 網站已經清過一次，又再中毒
• 網站有金流、會員資料，不能出錯
• 你看不懂登入紀錄和存取紀錄，不確定入口在哪

找人的時候要注意，只會「跑掃描、刪檔案、交報告」的服務，不一定能找到入口。GoDaddy 自己也承認遠端掃描能看到的範圍有限，Google 的案例更是主機商和掃描工具都沒抓到。問問對方會不會查登入紀錄、會不會檢查資料庫、會不會處理安全金鑰，就大概知道專不專業。就算要等人來處理，至少先把現場備份做好。

怎麼降低下一次被駭的機會？

先看一個數據：資安公司 Patchstack 在 2026 年發布的 WordPress 資安報告指出，2025 年 WordPress 生態系新增了 11,334 個漏洞，其中約 91% 出現在外掛，WordPress 核心只有 6 個；而且有 46% 的漏洞在公開時還沒有修補程式。

這個數據告訴我們兩件事：第一，外掛裝越多，要顧的風險越多；第二，光靠「隨時更新」不夠，因為有將近一半的漏洞公開時根本沒東西可以更新。再加上我前面說的帳密外洩問題，真正有效的防護是這幾件事一起做：

• 所有管理員開 2FA，不共用密碼
• 外掛只留真的需要的，定期清掉不用的
• 定期看使用者列表，管理員越少越好
• 保留異地備份，而且確認備份真的能還原
• 裝一個會記錄後台操作的稽核紀錄外掛，出事時才查得到是誰、什麼時候做了什麼

與其一直清，不如減少要顧的東西

WordPress 很強大，我到現在還是管理著幾千個 WordPress 網站。但它的彈性也代表外掛更新、主題相容、主機安全全都要你自己顧。很多小老闆其實只是想好好賣東西，卻被迫兼職當網管。

這也是我們自己開發 zenbu AI 網站系統的原因之一。網站建在我們維護的平台上，不用自己管主機和外掛，也不用三天兩頭追更新；你只要連接 AI、用講的就能建頁面、上架商品、寫文章。一頁式、形象網站、購物車、線上課程都能做，主機在台灣機房，速度也快。如果你原本在 WordPress 或其他平台，我們也能免費協助把資料搬過來，包含訂單和會員。

常見問題

網站被駭，直接用備份還原就好了嗎？

不一定。如果備份的時間點已經有後門，還原後問題依舊；就算備份是乾淨的，沒換密碼、沒踢登入，攻擊者還是能用同一組帳密再進來。還原只是清除的一種方式，入口還是要找、密碼還是要換。

裝了資安外掛，為什麼還是被駭？

因為資安外掛主要擋已知的惡意檔案和暴力破解，但攻擊者如果用的是正確的帳號密碼，在系統眼中就是一次「合法登入」。這也是為什麼兩步驟驗證比任何資安外掛都重要。

網站被駭會影響 SEO 嗎？

會。Google 可能在搜尋結果標示網站遭到入侵，瀏覽器也可能跳出警告，訪客看到就走了；被灌的垃圾頁面也會拖累整站排名。越早清乾淨、越早提出重新審查，影響越小。

網站被駭要多久才能處理好？

單純的情況，從找到入口、清除到換完密碼，有經驗的人可能一天內就能處理；但如果後門很多層、資料庫也被動過，或已經反覆被駭，就需要更長的時間逐一清查。Google 重新審查通常還要再等幾天到幾週。

小網站流量那麼少，為什麼也會被駭？

因為大部分攻擊是自動化的，不挑對象。攻擊者用程式大量測試外洩的帳密和已知漏洞，誰剛好中就是誰。小網站反而常因為沒人在顧，被駭很久才發現。

結語：找到入口，比刪掉多少檔案重要

網站被駭最重要的不是你刪了多少檔案，而是有沒有找到入口、有沒有把入口關起來。記住幾件事就好：先備份再清除、檔案和資料庫都要查、換密碼一定要同時踢登入，最後所有管理員都開兩步驟驗證。照這個順序走，大部分的入侵都能清乾淨，而且不會一直回來。