凌晨两点，零陵一家公司的行政给我打电话。说官网首页跳出了博彩链接。我赶过去，那台放在机房角落里嗡嗡响的老服务器，日志已经被清过一遍。问备份呢？说是半年前换服务器时做过一次。我听完心里凉了半截。东安一家厂去年也出过这事。
被挂马之后第一步该做什么
我到现场做的第一件事，是把网站目录改成只读。让页面先不对外写文件。不是关服务器，那样连残留的日志也没了。然后把现有文件整个打包存一份，哪怕是脏的。这一步很多人跳过。结果证据没了，入口查不出来。查不出入口怎么办？就还得再被挂一次。这话不好听。但得说。你要是碰上这事，顺序千万别乱。
没有备份还能救回多少东西
他们运气不算差。三个月前运维做过一次整站备份，存在另一台机器上。我用那份备份恢复了程序和大部分文章，最近三个月的动态没了。图片一张没丢，因为图片没被改。算是不幸中的万幸。这个结果，我不敢说每次都这么好。运气占了一半。这话我跟他说了。他听完点了根烟。烟抽完才开口。
备份怎么补，我一般这样配
凤凰园一家做汽车零部件的客户，机器就放在厂房角落。我现在给永州客户配的是：每天一次增量，每周一次全量。全量留四份。备份文件放另一台机器或者对象存储，不能跟网站挤在一台服务器上。备份完了要试恢复一次。没试过的备份，我都不好意思叫它备份。我自己栽过，栽一次记一辈子。这一套我建议你照抄。
备份放在哪儿，才不算白做
我把备份分成两份。一份放在本机房的 NAS 上，图的是恢复快。一份传到云上，图的是机房出事还有底。两种我都亲自试过恢复，速度差挺多。本地还是异地？我的答案是都要。机房钥匙挂在门后，谁都能进。这也是我担心的。所以云上那一份必须有。多花几十块，买踏实。值。你的机房钥匙是不是也挂在门后？自己去看一眼。
总结
被攻击后才发现没备份，是永州企业最常见也最贵的一课。你现在就可以做一件事：登服务器看看最近一次备份是哪天。超过一周没有，今天就配好每日增量。配完试恢复一次，别等出事才知道备份是坏的。