| 时间点 | 选择入侵/加密之前生成的备份 |
|---|---|
| 脏数据 | 备份中可能已含 webshell 或后门文件 |
| 隔离验证 | 恢复后在隔离网段扫描与功能测试 |
| 接入 | 验证通过再放入生产 |
校验与扫描恢复数据
校验与扫描恢复数据
sha256sum -c backup.sha256 2>/dev/null | tail -n 10
grep -RnE 'eval\(|base64_decode\(' /restore_test --include='*.php' -l 2>/dev/null | head
clamscan -r -i /restore_test 2>/dev/null | tail -n 10恢复前先对照入侵时间线：确认备份生成时间确实在入侵之前。