第一、首先要做的是：下载服务器日志，ftp传输日志

    一些不专业的或者不了解的网建工作者当发现网站被黑以后，可能就束手无策，请不要自乱手脚，我们首先要做的就是下载日志文件，包括服务器日志和ftp传输 日志，服务器的日志位置一般是位于C:\WINDOWS \system32\Logfiles\W3SVC1。ftp日志则取决于你的服务器所安装的ftp软件，比如SERVE-U默认是在安装目录下。但是， 这边提醒一点，既然你今天看到这篇文章，服务器的各种日志，一定要转移出默认的地方，同时设置一下删除保护。对于虚拟主机用户。一般你的空间提供商都会提 供3天之内的日志以及1个月的ftp日志下载，具体可以咨询你的空间提供商。下载日志这点很重要。它是我们接下去找出漏洞的关键。

    第二、下载到本地杀毒，或者服务端杀毒

    接下来，我们要开始找出入侵的幕后黑后了。记住，发现病毒先不要忙着删除。如果你拥有个人服务器，可以开启杀毒软看看，如果是使用虚拟主机可以下载到本 地，用杀毒软件杀，或者用我刚才说的那个ASP站长安全助手。发现病毒以后，刚才说的，不要忙着杀掉。查看那个病毒文件的修改时间。这个步骤是最关键的。 一般对方不会只留一个后门，可能会有漏网之鱼。这时你可以搜索刚找到的那个病毒文件的修改时间，检查这段时间建立或者修改了什么文件。那些文件都是嫌疑 犯，统统记住他们的文件名，注意，这边没有让你删除，要先记住文件名！
这边要提到一种情况，对方的木马很隐秘，找不到，这个时候，你需要在所有的网页文件中，查找一些木马常用的词，比如asp木马，一般会有这些字符出现在木马中，比如“木马”，“免杀”，“w”，“shell”等等字符，有出现这些字符的，可能为对方留下的后门

    第三、替换所有恶意代码

    进行下载日志的同时，应该开始删除恶意代码，以免影响用户体验。如果你拥有服务器，推荐你使用老马写的findstr，把恶意插入的代码批量替换掉。如果 你使用虚拟主机，有部分虚拟主机提供批量替换功能。如果你的虚拟主机没有提供这样的功能（破烂货，赶快换掉），那你可以去下载一个雷客图ASP站长安全助 手。来进行此项操作。这项操作要谨慎点，因为是对内容直接进行替换，稍微一马虎可能让你的网页内容面目全非。

    第四、在日志中查找该ip，了解对方入侵的过程。

    第五、修改ftp密码，超级管理员密码，3389登陆端口，用户名，密码。接着就是善后了。对方如果已经入侵了你的站点，这些密码都不再是密码，因此最保险的做法就是全部改掉。

    第六、将对方的ip，入侵时间，日志提交给当地网警。Ping对方使用的僵尸网站，查询对方网站所用ip，打电话到对方网站所在地的通信管理局投诉。