网站遭遇异常流量或被植入恶意代码后，最容易超支的做法是先急着重装，再发现数据、账号或攻击入口没有处理干净。评估网站被攻击后的流量清洗与恢复流程，应先区分攻击类型和受影响范围，再为五项工作分别设预算：流量清洗、排查、清理、恢复、验证。以下工时仅作小型至中型网站的初步排期参考，不含第三方服务费；复杂定制系统、数据损坏或持续攻击会明显增加投入。
先确认问题，再估清洗成本
页面打不开不一定代表同一种攻击。大量无效请求导致服务拥塞，重点是识别攻击流量并在服务入口处拦截；网页被篡改、搜索结果出现异常跳转，则要重点检查文件、数据库和管理账号。先留存日志、错误页面和告警时间，再联系主机或云服务商确认资源使用与访问情况。不要在证据尚未保存时批量删除文件。
预算要拆成五项，而不是一个“修复价”
| 成本项 | 评估内容 | 规划参考 |
|---|---|---|
| 1. 流量清洗 | 确认是否为DDoS攻击或异常请求，评估清洗服务、额外带宽及持续时间。 | 核对现有服务是否包含防护、按量计费是否会增加费用；攻击持续时需预留续费预算。 |
| 2. 排查与取证 | 检查访问日志、系统告警、网站文件变更、管理员账号和数据库访问记录。 | 单站点、日志齐全时可先按约半天至两天安排；日志缺失或涉及多台主机时通常更久。 |
| 3. 安全清理 | 移除恶意代码、修补入口漏洞、更新组件，并重置泄露或可疑账号凭据。 | 常见内容管理系统可按约半天至两天初估；自定义程序需额外核查依赖和业务逻辑。 |
| 4. 备份恢复 | 比较备份时间、完整性和感染迹象，恢复文件与数据库后核对关键内容。 | 备份可用且数据变化少时工作量较低；备份过旧、缺失或需要人工补录时，数据核验会成为主要成本。 |
| 5. 验证与观察 | 测试页面、登录、表单、支付或其他核心功能，检查错误日志和异常访问是否复现。 | 至少安排一次恢复后的全面检查，并根据风险持续观察数天；需明确由谁负责复查及是否另收费。 |
这些范围是人员排期参考，不是固定市场报价。报价前要求服务方写清工作边界、是否含夜间响应、第三方清洗费、恢复后的复查次数，以及遇到备份不可用时如何计费。
预算有限时，按风险排序执行
- 保留证据并限制损害。记录异常时间，保存可取得的日志和配置；必要时临时关闭受影响功能或限制管理入口，避免继续泄露。
- 先阻断攻击入口。由主机服务商或安全服务提供方确认可用的流量清洗方式。CDN可帮助缓存静态内容、减少源站直接暴露，但不能替代应用漏洞修复，也不一定覆盖所有攻击类型。
- 核对干净备份。选择攻击发生前且能通过文件、数据库检查的备份。不要只因备份日期较新就直接覆盖现有数据。
- 清理并修复。移除恶意文件后，更新存在风险的程序和插件，重置相关账号凭据；若无法确认入侵范围，可请专业人员检查，避免反复恢复。
- 分批恢复并复测。先恢复核心页面和关键业务，再检查表单、登录、邮件发送等功能，确认错误日志与异常访问没有持续出现。
压低成本时，别省掉闭环检查
网站被攻击后的流量清洗与恢复流程，成本控制的关键不是少做检查，而是避免重复施工。可以先索取分项报价，把“止住攻击”“恢复可用”“查清入口”“后续观察”分别列明；若预算不足，优先保障数据安全和核心功能，非关键页面可稍后恢复。恢复上线后，还应保留一份干净备份，并记录本次攻击的时间线、处理动作和待办事项。
常见问题
流量清洗后，网站就算安全了吗？
不一定。清洗主要处理异常流量，若攻击者还持有账号或网站存在漏洞，仍需修复入口、重置凭据并检查文件。
能不能直接用最新备份覆盖网站？
先核对备份是否完整、是否早于入侵时间，以及数据库内容是否可用。未经检查覆盖，可能带回恶意文件或丢失新数据。
预算只够做一项，先做什么？
按当前风险决定：服务仍受攻击时先控制流量和损害；数据或账号疑似泄露时优先限制访问、保存证据并核查影响范围。
恢复后需要观察多久？
没有适用于所有网站的固定期限。可根据攻击是否持续、日志是否完整和业务风险安排数天观察；一旦异常复现，应重新排查而非只重复上线。
