--- title: "網站清馬不是刪檔：惡意程式清理後必做的漏洞與權限覆核" url: https://www.fanworkshop.com/blog/malware-removal-website published: 2019-02-01 site: Fan WorkShop phone: +85294786868 address: 新蒲崗大有街34號新科技廣場11樓1116A室 --- # 網站清馬不是刪檔：惡意程式清理後必做的漏洞與權限覆核 > 網站清馬的重點不是只比較單一功能或規格，而是先盤點網站、資料、電郵、權限與備份之間的關係。本文以香港中小企常見場景說明選擇準則、驗收順序、故障風險與交接文件，協助公司在上線、續期、搬遷或人員變動時保留可控制、可還原的處理空間。重點是先分清資料位置與管理責任，再決定技術做法。 網站清馬的直接判斷是：清馬的目標不是只移走看得見的異常檔，而是找出被植入的途徑、核對核心檔與資料庫、重設權限並修補可重複利用的漏洞。。 ## 網站清馬真正要解決的是哪一類營運問題 ### 規劃時的判斷 這一節先把使用目的、現有資料與變更責任分開看，避免只因表面功能相近便作出不可逆的決定。判斷需要以可驗證資料為準，而不是單靠供應商名稱或一項規格。 ### 實務執行的重點 很多人查詢網站清馬時，第一句會問「夠不夠用」。更準確的問法其實是：哪一項工作不能中斷、誰負責改動、資料出了問題可否回到上一個可用版本。以關鍵字搜尋後只刪除幾個檔案，可能漏掉改名後門程式、排程工作或被竄改資料庫內容；入口未修補時，惡意程式通常會再次出現。 ### 先分辨服務與責任 服務名稱只描述一部分能力，真正影響日常運作的是責任分工。清馬的目標不是只移走看得見的異常檔，而是找出被植入的途徑、核對核心檔與資料庫、重設權限並修補可重複利用的漏洞。 在安排前可先閱讀[網站寄存服務](/storage)，把目前系統和日後需求放在同一張清單。 ## 先把責任邊界寫清楚，才談功能和規格 ### 規劃時的判斷 這一節先把使用目的、現有資料與變更責任分開看，避免只因表面功能相近便作出不可逆的決定。判斷需要以可驗證資料為準，而不是單靠供應商名稱或一項規格。 ### 實務執行的重點 判斷這項安排不應只看眼前頁數。檔案校驗、修改時間、上載目錄、後門程式、管理員帳戶、排程、資料庫內容、外掛版本、日誌與乾淨備份 都會隨業務改動而改變；把這些資料留下，日後重估方案時就不必從零猜測。[頻寬與尖峰用量](/blog/website-bandwidth-guide)可協助先建立比較基準。 ### 把「可用」與「可管理」分開 先備份受影響狀態作追查，再以乾淨核心檔和受控版本比對；清理後要重設密碼、更新程式、限制上載執行權及持續觀察日誌。 即使目前服務正常，也應確認誰會更新、誰會接收通知、誰可以從備份復原。這些安排比表面規格更能減少突發中斷。 ## 用一張比較表拆開可用性與管理負擔 ### 規劃時的判斷 這一節先把使用目的、現有資料與變更責任分開看，避免只因表面功能相近便作出不可逆的決定。判斷需要以可驗證資料為準，而不是單靠供應商名稱或一項規格。 ### 實務執行的重點 方案／做法適合情況主要責任先核對事項 一般寄存或既有流程需求清楚、變動有限帳戶與內容管理備份、權限、到期日 可調整的系統環境需要較高控制權更新、監察與修復檔案校驗、修改時間、上載目錄、後門程式、管理員帳戶、排程、資料庫內容、外掛版本、日誌與乾淨備份 獨享硬件或託管負載和設備需求明確硬件、網絡與維護協調電力、網絡、備援與交接 ## 規格資料應如何收集，避免憑感覺決定 ### 規劃時的判斷 這一節先把使用目的、現有資料與變更責任分開看，避免只因表面功能相近便作出不可逆的決定。判斷需要以可驗證資料為準，而不是單靠供應商名稱或一項規格。 ### 實務執行的重點 檢查項應記錄內容不清楚時的後果 權限持有人、管理員及復原方式無法續期、搬遷或停用帳戶 資料檔案、資料庫、電郵及備份位置只救回部分內容 變更時間、目的、舊值與新值故障後無法回復 一個有代表性的情境是：技術人員清走首頁跳轉碼後，數日內異常又回來；後來發現上載目錄仍可執行程式，而且某個舊外掛的漏洞從未更新。 因此，任何變更之前應先保存舊設定，並安排一個可以驗證結果的測試步驟；[網域轉移準備](/blog/domain-transfer-guide)亦可作為變更前的核對參考。 ## 由故障情境反推必須保留的控制點 ### 規劃時的判斷 這一節先把使用目的、現有資料與變更責任分開看，避免只因表面功能相近便作出不可逆的決定。判斷需要以可驗證資料為準，而不是單靠供應商名稱或一項規格。 ### 實務執行的重點 ### 需要提供給技術人員的資料 - 目前網站、電郵或系統的用途與不可中斷時段 - 域名、寄存及後台的可用權限 - 最近一次備份和可還原版本 - 最近改動、錯誤畫面和發生時間 - 先列出現有服務與持有人 - 把資料、程式及電郵的依賴關係畫出 - 選擇變更窗口並保留舊值 - 完成後以網站、表單和收發電郵逐項驗收 ## 上線、變更與驗收的順序不能顛倒 ### 規劃時的判斷 這一節先把使用目的、現有資料與變更責任分開看，避免只因表面功能相近便作出不可逆的決定。判斷需要以可驗證資料為準，而不是單靠供應商名稱或一項規格。 ### 實務執行的重點 若涉及網站對外展示，[網站安全與備份原則](/blog/website-security-backup-guide)可用作對照：前台表現、後台權限和伺服器設定不應由同一個「大概可以」的判斷處理。每一項都要有可驗證的標準。 - **只保存密碼、不保存服務清單：**交接時不知道登入哪裡。 - **只做備份、不做還原測試：**需要修復時才知道檔案不可用。 - **只改一項設定、不記錄舊值：**出現異常時失去最快的回復路徑。 ## 三個常見錯誤為何會令小問題擴大 ### 規劃時的判斷 這一節先把使用目的、現有資料與變更責任分開看，避免只因表面功能相近便作出不可逆的決定。判斷需要以可驗證資料為準，而不是單靠供應商名稱或一項規格。 ### 實務執行的重點 情境先做動作避免做的事 服務異常保存錯誤訊息和發生時間同時亂改多項設定 需要搬遷核對 DNS、資料及帳戶未備份便切換 人員交接覆核權限與聯絡清單共用最高權限密碼 安全與營運不能分開。權限愈高、資料愈重要，便愈應設定最少權限、保留變更紀錄和分開保存備份。[公司服務背景](/about)中的安排可作為日常覆核的起點；[RAID 儲存取捨](/blog/server-raid-storage)則可延伸到例行檢查。 ## 把安全、備份與權限放進日常工作 ### 規劃時的判斷 這一節先把使用目的、現有資料與變更責任分開看，避免只因表面功能相近便作出不可逆的決定。判斷需要以可驗證資料為準，而不是單靠供應商名稱或一項規格。 ### 實務執行的重點 ### 何時不應再拖延 當服務經常觸及資源上限、備份無法在可接受時間內還原、管理權限只剩一人知道，或電郵與網站問題互相影響時，就應重新盤點。[帳戶交接權限](/blog/hosting-account-access)能協助把網站、電郵與網域關係拆開處理。 ### 交接最少要留下甚麼 - 服務用途、到期日與負責人 - 登入與帳戶復原流程 - DNS、電郵及程式的變更紀錄 - 備份保存位置與還原步驟 - 遇到異常時的聯絡次序完成清單後，亦應把[寄存商核對清單](/blog/hosting-provider-checklist)的相關原則一併記錄，避免下一次改動又回到只靠口頭交代的狀態。 ## 何時應調整方案，而不是繼續硬撐 ### 規劃時的判斷 這一節先把使用目的、現有資料與變更責任分開看，避免只因表面功能相近便作出不可逆的決定。判斷需要以可驗證資料為準，而不是單靠供應商名稱或一項規格。 ### 實務執行的重點 最後，這項安排的價值不在於把技術名詞堆得愈多愈好，而在於讓公司在上線、日常更新、故障和人員交接時，都知道下一步由誰做、用哪個資料做判斷。若已有具體環境或故障情況，可經[WordPress 更新節奏](/blog/wordpress-maintenance-plan)整理需要核對的資料。 ## 交接文件怎樣令下一位同事接得住 ### 規劃時的判斷 這一節先把使用目的、現有資料與變更責任分開看，避免只因表面功能相近便作出不可逆的決定。判斷需要以可驗證資料為準，而不是單靠供應商名稱或一項規格。 ### 實務執行的重點 判斷過程中要刻意分開「現在能運作」和「出事後能否復原」。前者可能只需一個表面測試；後者則要知道資料在哪裡、誰能登入、舊設定如何回復，以及變更後由誰驗收。這亦是選擇任何技術方案前最容易被忽略的成本。 採用較高層級方案不會自動消除管理工作。資源、網絡或機房環境可以改善容量與控制權，但內容更新、帳戶安全、資料完整性和交接文件仍需要有人持續負責。把責任寫成清單，往往比臨時口頭承諾可靠。 每次安排變更時，都應預留一段可觀察時間：先確認網站首頁和內頁，再測試表單、登入、電郵及需要的後台程序。若有 DNS 或憑證變更，還要以不同網絡和裝置核對，避免只在單一電腦看見正常便宣布完成。 盤點資料時，應將「現有狀態」與「期望狀態」分欄記錄。現有狀態包括檔案校驗、修改時間、上載目錄、後門程式、管理員帳戶、排程、資料庫內容、外掛版本、日誌與乾淨備份；期望狀態則應寫明誰使用、何時使用、可否停機，以及出現異常時由誰作決定。這樣才不會把技術選擇變成單向承諾。 要留意資料變更的速度。靜態公司資料與每日新增的表單、訂單或電郵紀錄，所需保護方式不同。先界定甚麼資料最不能遺失，才可安排適當的保存及驗收節奏。 任何容量或效能判斷都應留有餘量。業務活動、圖片增加、同事新增帳戶或系統流程改動，都可能令原先剛好足夠的安排迅速變得緊張；預留調整空間比臨時停機更可控。 遇到異常時，時間線尤其重要。記下何時開始、誰曾作出哪項改動、哪些功能受影響，以及後來如何恢復，下一次便可用同一份紀錄縮短排查，而不是重新憑印象追查。 供應商協作時，應用可驗收的結果取代模糊描述。例如指定要測試的網址、帳戶、表單或還原步驟；這不代表把責任推給對方，而是令每一方都知道完成標準。 若安排涉及人員交接，應把個人帳戶與公司帳戶分開。個人可有日常使用權，公司則要保留最高管理權和復原渠道，才能在角色變動時維持服務連續。 變更前後都要保留證據：設定截圖、匯出檔、測試結果與時間。它們既可協助回復，也能避免數月後再看設定時無法理解當初的取捨。 安全設定的目的不是令流程更複雜，而是減少單一錯誤造成全面影響。分開權限、限制不必要的操作、保存可用版本，能讓日常工作保持順暢，同時保留修復選項。 最後再回到實際使用者。訪客、前線同事和管理員看到的問題可能不同：有人遇到頁面慢、有人收不到信、有人不能更新內容。把回報分類，才可判斷問題出在內容、權限、網絡還是系統本身。 判斷過程中要刻意分開「現在能運作」和「出事後能否復原」。前者可能只需一個表面測試；後者則要知道資料在哪裡、誰能登入、舊設定如何回復，以及變更後由誰驗收。這亦是選擇任何技術方案前最容易被忽略的成本。 採用較高層級方案不會自動消除管理工作。資源、網絡或機房環境可以改善容量與控制權，但內容更新、帳戶安全、資料完整性和交接文件仍需要有人持續負責。把責任寫成清單，往往比臨時口頭承諾可靠。 每次安排變更時，都應預留一段可觀察時間：先確認網站首頁和內頁，再測試表單、登入、電郵及需要的後台程序。若有 DNS 或憑證變更，還要以不同網絡和裝置核對，避免只在單一電腦看見正常便宣布完成。 盤點資料時，應將「現有狀態」與「期望狀態」分欄記錄。現有狀態包括檔案校驗、修改時間、上載目錄、後門程式、管理員帳戶、排程、資料庫內容、外掛版本、日誌與乾淨備份；期望狀態則應寫明誰使用、何時使用、可否停機，以及出現異常時由誰作決定。這樣才不會把技術選擇變成單向承諾。 要留意資料變更的速度。靜態公司資料與每日新增的表單、訂單或電郵紀錄，所需保護方式不同。先界定甚麼資料最不能遺失，才可安排適當的保存及驗收節奏。 任何容量或效能判斷都應留有餘量。業務活動、圖片增加、同事新增帳戶或系統流程改動，都可能令原先剛好足夠的安排迅速變得緊張；預留調整空間比臨時停機更可控。 遇到異常時，時間線尤其重要。記下何時開始、誰曾作出哪項改動、哪些功能受影響，以及後來如何恢復，下一次便可用同一份紀錄縮短排查，而不是重新憑印象追查。 供應商協作時，應用可驗收的結果取代模糊描述。例如指定要測試的網址、帳戶、表單或還原步驟；這不代表把責任推給對方，而是令每一方都知道完成標準。 若安排涉及人員交接，應把個人帳戶與公司帳戶分開。個人可有日常使用權，公司則要保留最高管理權和復原渠道，才能在角色變動時維持服務連續。 變更前後都要保留證據：設定截圖、匯出檔、測試結果與時間。它們既可協助回復，也能避免數月後再看設定時無法理解當初的取捨。 安全設定的目的不是令流程更複雜，而是減少單一錯誤造成全面影響。分開權限、限制不必要的操作、保存可用版本，能讓日常工作保持順暢，同時保留修復選項。 最後再回到實際使用者。訪客、前線同事和管理員看到的問題可能不同：有人遇到頁面慢、有人收不到信、有人不能更新內容。把回報分類，才可判斷問題出在內容、權限、網絡還是系統本身。 判斷過程中要刻意分開「現在能運作」和「出事後能否復原」。前者可能只需一個表面測試；後者則要知道資料在哪裡、誰能登入、舊設定如何回復，以及變更後由誰驗收。這亦是選擇任何技術方案前最容易被忽略的成本。 採用較高層級方案不會自動消除管理工作。資源、網絡或機房環境可以改善容量與控制權，但內容更新、帳戶安全、資料完整性和交接文件仍需要有人持續負責。把責任寫成清單，往往比臨時口頭承諾可靠。 每次安排變更時，都應預留一段可觀察時間：先確認網站首頁和內頁，再測試表單、登入、電郵及需要的後台程序。若有 DNS 或憑證變更，還要以不同網絡和裝置核對，避免只在單一電腦看見正常便宣布完成。 盤點資料時，應將「現有狀態」與「期望狀態」分欄記錄。現有狀態包括檔案校驗、修改時間、上載目錄、後門程式、管理員帳戶、排程、資料庫內容、外掛版本、日誌與乾淨備份；期望狀態則應寫明誰使用、何時使用、可否停機，以及出現異常時由誰作決定。這樣才不會把技術選擇變成單向承諾。 要留意資料變更的速度。靜態公司資料與每日新增的表單、訂單或電郵紀錄，所需保護方式不同。先界定甚麼資料最不能遺失，才可安排適當的保存及驗收節奏。 任何容量或效能判斷都應留有餘量。業務活動、圖片增加、同事新增帳戶或系統流程改動，都可能令原先剛好足夠的安排迅速變得緊張；預留調整空間比臨時停機更可控。 遇到異常時，時間線尤其重要。記下何時開始、誰曾作出哪項改動、哪些功能受影響，以及後來如何恢復，下一次便可用同一份紀錄縮短排查，而不是重新憑印象追查。 供應商協作時，應用可驗收的結果取代模糊描述。例如指定要測試的網址、帳戶、表單或還原步驟；這不代表把責任推給對方，而是令每一方都知道完成標準。 若安排涉及人員交接，應把個人帳戶與公司帳戶分開。個人可有日常使用權，公司則要保留最高管理權和復原渠道，才能在角色變動時維持服務連續。 變更前後都要保留證據：設定截圖、匯出檔、測試結果與時間。它們既可協助回復，也能避免數月後再看設定時無法理解當初的取捨。 安全設定的目的不是令流程更複雜，而是減少單一錯誤造成全面影響。分開權限、限制不必要的操作、保存可用版本，能讓日常工作保持順暢，同時保留修復選項。 最後再回到實際使用者。訪客、前線同事和管理員看到的問題可能不同：有人遇到頁面慢、有人收不到信、有人不能更新內容。把回報分類，才可判斷問題出在內容、權限、網絡還是系統本身。 判斷過程中要刻意分開「現在能運作」和「出事後能否復原」。前者可能只需一個表面測試；後者則要知道資料在哪裡、誰能登入、舊設定如何回復，以及變更後由誰驗收。這亦是選擇任何技術方案前最容易被忽略的成本。 採用較高層級方案不會自動消除管理工作。資源、網絡或機房環境可以改善容量與控制權，但內容更新、帳戶安全、資料完整性和交接文件仍需要有人持續負責。把責任寫成清單，往往比臨時口頭承諾可靠。 每次安排變更時，都應預留一段可觀察時間：先確認網站首頁和內頁，再測試表單、登入、電郵及需要的後台程序。若有 DNS 或憑證變更，還要以不同網絡和裝置核對，避免只在單一電腦看見正常便宣布完成。 盤點資料時，應將「現有狀態」與「期望狀態」分欄記錄。現有狀態包括檔案校驗、修改時間、上載目錄、後門程式、管理員帳戶、排程、資料庫內容、外掛版本、日誌與乾淨備份；期望狀態則應寫明誰使用、何時使用、可否停機，以及出現異常時由誰作決定。這樣才不會把技術選擇變成單向承諾。 要留意資料變更的速度。靜態公司資料與每日新增的表單、訂單或電郵紀錄，所需保護方式不同。先界定甚麼資料最不能遺失，才可安排適當的保存及驗收節奏。 任何容量或效能判斷都應留有餘量。業務活動、圖片增加、同事新增帳戶或系統流程改動，都可能令原先剛好足夠的安排迅速變得緊張；預留調整空間比臨時停機更可控。 遇到異常時，時間線尤其重要。記下何時開始、誰曾作出哪項改動、哪些功能受影響，以及後來如何恢復，下一次便可用同一份紀錄縮短排查，而不是重新憑印象追查。 供應商協作時，應用可驗收的結果取代模糊描述。例如指定要測試的網址、帳戶、表單或還原步驟；這不代表把責任推給對方，而是令每一方都知道完成標準。 若安排涉及人員交接，應把個人帳戶與公司帳戶分開。個人可有日常使用權，公司則要保留最高管理權和復原渠道，才能在角色變動時維持服務連續。 ## 常見問題 ### 這項安排應先看甚麼？ 先把服務目標、現有登入權限、資料位置和日常使用情況寫清楚。這項安排不是單憑一個功能或規格決定；當網站、電郵、資料庫和備份涉及不同帳戶時，交接安排往往比單一技術選項更重要。 ### 是否要立即升級？ 不必。先量度實際瓶頸和故障情境，再決定是否調整方案。若問題來自圖片、程式設定、資料庫查詢或帳戶權限，直接升級硬件或服務層級未必能處理根源。 ### 誰應保留管理權？ 公司應保留可驗證的管理資料及至少一個受控管理帳戶。服務商可協助技術設定，但域名、寄存、備份或平台的最高權限不應只存在於單一個人手上。 ### 出現故障時先做甚麼？ 先保留現場資訊，包括時間、錯誤畫面、最近改動和可重現步驟；之後核對服務狀態、登入紀錄及備份版本。未確認原因前，避免同時改動多項設定，否則會增加追查難度。 ### 要保留哪些文件？ 至少保留服務清單、到期日、登入位置、DNS 記錄、備份週期、系統版本、聯絡人及上線變更紀錄。文件不需寫得複雜，但要令接手的人知道資料在哪裡和下一步怎樣做。 ### 如何開始查詢？ 整理目前使用的域名、網站類型、電郵或資料庫需求、已知問題及希望完成的時間，再透過[查詢安排](/contactus)提供資料。資料愈完整，越容易判斷需要先修正設定、搬遷還是調整服務層級。