西安旅游网站被恶意篡改为网黄页面

昨天下午，一位做本地文旅自媒体的旅游朋友给我发了条消息：“你赶紧看看西安那个旅游官网，首页变成啥了。网站网黄”我点进去的被恶时候，页面已经被紧急关停，意篡页面只剩一行“维护中”的西安提示。但朋友发来的旅游截图很清晰——原本应该是景区介绍和票务入口的位置，赫然挂着几排露骨标题和跳转链接，网站网黄配色从原先的被恶赭石色变成刺眼的黑底荧光粉。域名没错，意篡页面就是西安那个运营了七八年的老站。

这不是旅游孤例。去年到今年，网站网黄我留意到至少四起地方旅游信息平台被黑产盯上的被恶事件，西安这次算传播范围比较广的意篡页面。攻击者没有篡改数据库里的景区数据，而是直接替换了首页模板文件。换句话说，他们拿到了服务器某个目录的写入权限，塞进去一个伪装成正常页面的跳转脚本。普通游客打开网址，看到的不是兵马俑或城墙门票，而是一堆不堪入目的东西。整个过程可能只用了不到两分钟。

为什么是旅游网站？我琢磨了一下，逻辑不复杂。这类站点通常由地方文旅部门外包给第三方技术公司维护，预算有限，安全投入更有限。很多后台还跑着五年前甚至更早的CMS版本，插件常年不更新。攻击者用自动化扫描工具批量找漏洞，旅游站因为流量适中、权重不低，正好是“性价比”很高的目标。挂上网黄页面，一方面能靠色情引流赚快钱，另一方面也可能是在测试更深的渗透路径——今天挂个页面，明天说不定就窃取用户数据了。

有个做安全运维的读者跟我聊过，他说这类篡改最麻烦的地方在于“发现滞后”。旅游网站不像电商或银行，没有7×24小时的实时监控。很多单位要等到游客打电话投诉，或者搜索引擎安全中心发来警告，才知道出事了。西安这次据说是网信部门巡查时发现的，但距离页面上线已经过了几个小时。那几个小时里，点击量有多少？截图被转了多少群？没人说得清。

更让我觉得别扭的是后续处理。网站关停、发个道歉声明、说“已报警”，这套流程太熟了。可问题在于，外包公司有没有做代码审计？服务器有没有做入侵痕迹排查？其他同架构的站点有没有同样漏洞？这些信息通常不会公开。我翻了一圈公开报道，只看到一句“正在调查”，连攻击方式都没提。说实话，这种模糊处理反而让人更不放心。

我自己试了一下，用一些公开的网站指纹识别工具扫了扫西部几个省份的旅游信息站。结果不太乐观——至少有三个站还在用已经停止维护的框架，其中一个的后台登录页甚至没有验证码。当然我不会去碰任何未授权的测试，但光从外部特征就能看出，安全基线普遍偏低。这跟经费有关，也跟意识有关。很多单位觉得“我们就是个展示页面，有什么好黑的”，可黑产不挑食，能挂链接就行。

写这些不是要指责谁。西安旅游网站被篡改，受害的是那些真正想查攻略的游客，还有本地文旅的形象。我只是觉得，这类事件不该每次都以“临时工疏忽”或者“境外黑客攻击”收尾。技术上的事，用技术解决。该升级的升级，该加WAF的加WAF，该定期渗透测试的别偷懒。一个旅游网站而已，防护做到及格线并不难。难的是有人愿意把它当回事。

今天再打开那个域名，已经恢复成正常的西安景区推荐页了。首页轮播图里，大雁塔的灯光依旧璀璨。好像什么都没发生过。但我知道，那个被替换掉的页面，曾经在某个下午，对着成千上万的访问者，露出过另一副面孔。