网站被黑后更先要做什么？

发现首页被篡改、快照出现博彩内容，之一反应不是改密码，而是立即隔离服务器。把域名解析到临时静态页，阻断黑客继续写入，同时用wget --mirror把被篡改前的整站备份到本地，避免证据丢失。

如何确认入侵路径？

自问：是插件漏洞、弱口令还是供应链污染？

• 查Web日志：搜索最近三天的POST异常请求，重点看user-agent为python、curl的记录。
• 查文件时间戳：find /var/www -type f -mtime -1 列出24小时内被改动的文件，对比官方源码。
• 查数据库：搜索wp_posts表里是否出现