網站被駭，換了密碼還是擋不住？我們處理 WordPress、Joomla! 等常見 PHP 網站的入侵：先止血，查出攻擊者怎麼進來、拿走了什麼，把路關掉，再陪你觀察 7 天，確認他沒有回來。
每個結論都附時間、來源和記錄。改動正式網站之前，我們一定先說明要做什麼，取得你的同意才動手。
適用平台：WordPress、Joomla!、Drupal 與自建 PHP 網站。其他 PHP 系統可先評估。
需提供主機控制台或 FTP／SSH 存取權限；不同平台與主機環境處理方式略有差異，報價前會先評估。
委託前你最想知道的三件事
多快開始
工作日 24 小時內回覆評估。需要立即處理時，可選購 24 小時內緊急處理。
沒清乾淨怎麼辦
觀察期內若再次被入侵，免費重新處理。不含客戶自行安裝未經評估的外掛／擴充套件、外洩密碼等新的入口。
會拿到什麼
結案提供書面報告，內容包括入侵入口、清除項目、加固措施與後續建議。
一般入侵處理的時程（示意）
- 攻擊者的動作
- 我們的處置
- 複查沒有異常
- 第 0 天進場止血停止可疑程式，開啟維護模式
- 第 1 天找出入口保全證據，整理入侵時間軸
- 第 2 天清除與重裝後門移到隔離區，核心與外掛／擴充套件換成原廠版本
- 第 3 天加固後開站更換密碼與設定檔金鑰，
測試後開站 - 第 4–6 天攻擊者回來嘗試用原本的方法再試，入口已關，沒有成功
- 第 7–9 天每天複查檔案、帳號、設定檔金鑰與記錄逐日比對
- 第 10 天觀察期結束交付總結報告與後續建議
示意時程，含開站後 7 天觀察期。實際天數依網站大小、主機環境和受損程度而定。
出現這些狀況，請先聯絡我們
- 後台出現不認識的管理員帳號就算刪掉了，也要查清楚是怎麼建立的。
- 換了密碼、換了帳號，攻擊者幾天內又回來代表他手上還有不需要密碼的鑰匙。
- 外掛／擴充套件被刪掉之後，又自己裝回來網站上還有別的後門在幫他重裝。
- 出現不明的訂單、會員帳號或付款狀態攻擊者可能在利用網站功能本身的漏洞。
- 主機變慢、資源被吃滿，或出現不認識的檔案網站可能被拿來挖礦、寄垃圾信或攻擊別人。
- Google 或瀏覽器把網站標成危險網站網站可能被植入轉址或詐騙內容。
- 主機商通知有異常流量、垃圾信或可疑程式攻擊者可能已經能在主機上執行指令。
- 不確定有沒有被駭，只是覺得不對勁可以先做不改動網站的資安健檢。
在我們到之前，先不要刪檔案或還原備份
被改過的檔案和存取記錄，是找出入口的證據。刪掉或還原之後，常常就查不出攻擊者是怎麼進來的。你可以先做這三件事：
- 用另一台乾淨的電腦，更換主機控制台與網站管理員的密碼。
- 截圖保存看到的異常畫面，記下發現的時間。
- 列出最近一個月誰登入過後台、裝過什麼外掛／擴充套件。
只刪掉後門，攻擊者通常會再回來
攻擊者很少只留一把鑰匙。偷走的連線憑證、應用程式密碼、繞過登入的路，都不會因為刪檔案或換密碼而失效。沒有找到入口、收回所有鑰匙，網站清乾淨幾天後又會出事。
處理流程
入侵處理分成四段。每一段都有明確的完成條件，做到了才進下一段。
止血
開啟維護模式，金流與物流的付款通知照常放行，不會漏掉付款。停止攻擊者正在主機上執行的程式。
完成條件主機上沒有攻擊者的程式，從外部測試維護模式有效。
保全證據、找出入口
存取記錄、資料庫和檔案，先複製到網站帳號碰不到的地方，再整理成時間軸。
完成條件寫出第一次入侵的時間、入口、攻擊者來源、建立的帳號，以及動過的東西。
清除、重裝、加固
後門移到隔離區；核心與外掛／擴充套件換成原廠版本；上傳目錄禁止執行程式；更換所有密碼與設定檔金鑰，管理員強制兩步驟驗證。
完成條件官方校驗全部通過，每一項加固都有修改前後的測試結果。
測試、開站、觀察
每一種金流都實際下一筆訂單；監控的警報實際測試收得到信。開站後 7 天每天複查。
完成條件觀察期內沒有新的入侵跡象。
找不到入口也會照樣做完：已知的洞都會補上，觀察期也會看得更仔細。如果同一個入口再次被入侵，我們會建議改用全新的主機帳號重建網站。
我們的工作原則
- 改動正式網站前，先說明、經你同意每一項改動都寫好怎麼復原。只檢查的部分不會改到網站。
- 只動你的網站帳號同一台主機上的其他帳號只讀不寫；主機層級的問題，寫成報告交給主機管理者。
- 密碼與金鑰不經過 Email、LINE報告裡只寫比對結果，不寫出任何密碼或金鑰。
- 攻擊者留下的程式，只當文字閱讀不在你的主機上執行來路不明的程式。
典型情境：換了密碼，攻擊者還是回來
以下以 WordPress 網站為例，說明這類 PHP 網站被駭時很常見的模式，綜合一般情況整理而成，不是特定客戶的案例。
網站管理者發現後台多了不認識的管理員帳號。刪掉帳號、換了密碼，過幾天又出現；有些檔案或外掛／擴充套件刪掉之後，又自己回來。
常見的原因
- 某個外掛／擴充套件或佈景主題／樣板太久沒更新，有已公開的漏洞，攻擊者從這裡進來。
- 進來之後留下不只一個後門，分散在不同地方，刪掉一個，還有別的會把它裝回來。
- 攻擊者另外拿到不需要密碼的存取方式，例如應用程式密碼或 API 金鑰，只換登入密碼擋不住。
- 自動更新沒有正常運作，已知的漏洞一直沒補上。
處理與觀察
先止血、保全證據，找出入口並補上；作廢所有密碼、設定檔金鑰與登入狀態，核心與外掛／擴充套件換成原廠版本，測試後重新開站。
開站後觀察 7 天。攻擊者常會用原本的方法回來試幾次。入口已經關掉，這些嘗試會留下記錄，但不會成功。複查時如果發現新的跡象，我們會先說明，經你同意後處理。
你會拿到兩份報告
同一件事，寫給兩種讀者。經營者看得懂要做什麼決定，技術人員拿得到可以查證的證據。
給經營者的處理報告
白話、台灣時間。寫清楚發生了什麼事、損失範圍、要你決定的事。不含主機細節，可以直接轉給合作夥伴。
第 5 天複查範例
結論：沒有發現新的入侵跡象。攻擊嘗試都沒有成功，沒有新的損失。
請貴公司處理
1. 新增管理員之前先告訴我們，以免觸發警報。
2. 第三方服務的 API 金鑰請重新產生，換好後告訴我們，我們會確認新金鑰生效。
給技術人員與主機商的技術報告
每個結論都附時間、來源 IP 和記錄行。證據檔附校驗碼，日後可以查證沒有被改過。
後台登入嘗試檢查範例（WordPress）
檢查時間窗內的登入與上傳嘗試，全部失敗（403），沒有新增管理員帳號，檔案沒有變動。
03:41:07 203.0.113.24 POST /wp-login.php 403 03:41:09 203.0.113.24 POST /xmlrpc.php 403
- 證據封存：處理前的檔案、資料庫與記錄，附校驗碼
- 後續維護建議：更新、備份與帳號權限的注意事項清單，方便日後維護
- 自動監控：檔案、管理員帳號、設定檔金鑰、排程
- 待辦清單：依急迫程度排列，寫明誰負責、為什麼要做
方案與費用
價格依網站大小、主機環境和受損程度調整。先確認範圍再報價；範圍外的工作，會先告訴你再做。
資安健檢
網站還沒出事，想知道現在安不安全。
- 只檢查，不改動網站
- 外掛／擴充套件與佈景主題／樣板的已知漏洞比對
- 管理員帳號、兩步驟驗證、應用程式密碼
- 後門與隱藏帳號的特徵、核心檔案官方校驗
- 近期存取記錄裡的攻擊與結果
- 金流、會員與訂單功能的常見設定風險
交付：健檢報告與修正建議，依急迫程度排列。
健檢後 30 天內委託入侵處理，健檢費可全額折抵。
NT$12,000起／站
5 個工作天內完成
入侵處理
已經被駭，或高度懷疑被駭。
- 止血、保全證據、找出入口
- 清除後門，核心與外掛／擴充套件換成原廠版本
- 加固、更換所有密碼與設定檔金鑰、管理員兩步驟驗證
- 每一種金流實際測試後重新開站
- 開站後觀察 7 天，每天複查
交付：處理報告、技術報告、證據封存、後續維護建議、觀察期總結。
NT$45,000起／站
電商網站（WooCommerce、OpenCart 等）
NT$60,000 起
通常 1–3 天內重新開站
選購項目
可加在入侵處理方案上。
24 小時內緊急處理（選購）
需要立即開始處理時。
- 確認委託並取得權限後 24 小時內開始處理（含假日），先止血
- 依排程狀況受理，請先聯繫確認
NT$15,000另加
延長觀察（選購）
開站後的 7 天觀察期，再加 15 天。
- 延續每小時、每天、每週自動檢查，有異常立即通知
- 每天人工複查一次，每次附報告
- 發現異常時，先說明處理方式，經同意後處理
交付：每日複查報告、延長觀察總結。
NT$18,000／15 天
長期監控
想要有人持續看著網站。兩種方案都至少 3 個月。
基本監控
自動看守，有異常立刻通知。
- 自動掃描
- 檔案變動與可用性監控
- 異常通知
交付：異常通知。
NT$1,800／月
至少 3 個月
監控＋維護
監控之外，也幫你做例行維護。
- 基本監控全部內容
- 每月更新核心與外掛／擴充套件
- 備份檢查
- 異常人工判讀
- 每月報告
交付：每月報告。
NT$4,800／月
至少 3 個月
不包含：系統大版本升級、付費外掛／擴充套件的授權費、主機費用、網站功能修改。這些可以另外報價。
別家處理過的網站若只要觀察，可另外報價。
常見問題
多快可以開始處理？
工作日 24 小時內回覆評估。來信時先告訴我們網址、主機類型和發現異常的時間，我們會先判斷是不是要立刻止血。需要立即處理時，可選購 24 小時內緊急處理：確認委託並取得權限後 24 小時內開始（含假日）；依排程狀況受理，請先聯繫確認。
需要提供哪些權限？
需提供主機控制台（例如 cPanel）或 FTP／SSH 存取權限，以及一個網站管理員帳號。不同平台與主機環境處理方式略有差異，報價前會先評估。密碼請用我們提供的方式交付，不要直接用 Email 或 LINE 傳。處理完成後，交給我們的密碼都會換掉。
處理期間網站要關多久？
止血時會開啟維護模式，一般訪客看到維護頁，金流與物流的付款通知照常放行。開站時間依網站大小和受損程度而定，通常是 1–3 天。
會不會把我的資料弄丟？
任何刪改之前，都會先把會被改到的東西複製到證據區。可疑檔案移到隔離區，不直接刪除，結案後經你確認才清掉。
處理完就保證不會再被駭嗎？
沒有人能保證。我們能做的是找出入口並關掉、補上已知的漏洞、收回攻擊者手上的鑰匙，再開站後觀察 7 天，確認他沒有回來。觀察期內若再次被入侵，免費重新處理；但不含客戶自行安裝未經評估的外掛／擴充套件、外洩密碼等新的入口。如果同一個入口再次被入侵，我們會建議改用全新的主機帳號重建網站。
已經請別人清過了，還需要嗎？
如果清完之後又出事，通常是入口沒找到，或還有鑰匙沒作廢。可以先做資安健檢，或直接從找出入口開始。若只要觀察，也可以另外報價。
支援哪些網站系統？
WordPress、Joomla!、Drupal 與自建 PHP 網站都可以。其他 PHP 系統可先評估，來信說明系統與主機環境，我們會告訴你能不能接。主機方面支援 cPanel 共享主機與一般的 Linux 主機。
會簽保密協議嗎？
可以。報告和證據只交給你指定的人。案例分享一定去識別化，並先取得你的同意。
聯絡我們
填寫諮詢表單時，請盡量附上這些資料，我們可以更快判斷狀況：
- 網站網址
- 主機類型：cPanel 共享主機、VPS 或雲端主機
- 發現異常的時間和看到的狀況，有截圖更好
- 已經做過哪些處理，例如換密碼、刪檔案、還原備份
第一次聯絡請不要附上任何密碼。
WordPress、WooCommerce、Joomla!、Drupal、OpenCart 是其各自所有者的商標，本服務與其無隸屬關係。