网站被篡改

凌晨三点，网站手机在床头柜上震了一下。被篡我迷迷糊糊摸过来看，网站是被篡运维老张发来的消息：“首页被挂了博彩链接，赶紧上线。网站”那一瞬间困意全没了，被篡后背一阵发凉。网站打开电脑连上VPN，被篡浏览器里输入自家域名，网站回车——页面加载出来，被篡顶部赫然多了一排花花绿绿的网站赌场广告，底下还跟着一句“澳门首家线上赌场上线啦”。被篡

这不是网站电影里的情节。任何有公网IP的被篡网站，都有可能在某天深夜变成这样。网站

网站被篡改，说白了就是有人绕过你的权限，改了你的页面内容。手段五花八门，但最常见的入口就那么几个。一个是后台弱口令，admin/admin、admin/123456这种，扫描器几秒钟就能跑完一个C段。另一个是CMS或插件的已知漏洞，比如早年的织梦、WordPress插件漏洞，攻击者连密码都不用猜，直接构造请求就能写shell。还有一种更隐蔽的——服务器本身被入侵，Web目录只是顺手改的，真正的目的是留后门、当跳板。

老张后来查日志，发现入侵点是一个两年前装的旧版编辑器插件。那个插件早就没人维护了，但一直挂在后台没删。攻击者通过插件的文件上传漏洞传了一个PHP马，然后遍历目录，找到首页模板，插了一段JavaScript。整个过程不到四十秒。

为什么是博彩链接？因为黑产链条成熟得可怕。有人专门扫站、有人专门拿shell、有人专门挂链接，各环节按量结算。一个权重高的站，首页挂一天博彩，背后可能产生几万甚至几十万的流水。你的服务器，在别人眼里就是一台免费的广告投放机。

被篡改之后，最直接的损失不是服务器本身，而是搜索引擎的信任。百度、Google一旦发现你的页面有博彩内容，轻则降权，重则直接K站。恢复周期短则几周，长则几个月。流量掉下去容易，爬回来难。更麻烦的是，如果被挂的是钓鱼页面，用户在你域名下被骗了钱，投诉和法律责任都得你来扛。

怎么防？我自己的习惯是几条硬规矩。后台路径别用默认的，admin、login这种词直接换掉。密码必须强，最好上双因素。插件和CMS保持更新，用不到的组件直接删，别留着占地方。服务器上装个文件完整性监控，Web目录一有改动立刻告警。再配个WAF，能挡掉大部分自动化扫描。这些事做下来，日常维护成本并不高，但能挡住九成以上的低级攻击。

发现被篡改之后，别急着删文件。先断网、留证、查日志。把被改的文件、访问日志、进程列表都备份下来，再分析入口。很多人一着急直接重装系统，结果攻击者怎么进来的、有没有留后门，全不知道。下次照样中招。

说到底，网站被篡改这件事，技术门槛在降低，攻击成本在降低，但防守方的容错率也在降低。一个疏忽，可能就是一整夜的应急响应。老张那天修完漏洞，把服务器上所有过期插件列了个清单，挨个删。他说了一句话我记到现在：“你偷懒的每一个地方，都有人替你惦记着。”