上周三凌晨两点，网址我手机突然响了。被篡一个做外贸的改修朋友急吼吼地说：“你快帮我看看，我网站怎么跳到赌博页面去了？网址”我打开他给的链接，浏览器地址栏里显示的被篡域名没错，但页面内容全变了——原本的改修产品展示页变成了一堆花花绿绿的博彩广告。这就是网址典型的网址被篡改，或者更准确地说，被篡是改修域名解析被劫持了。

很多人遇到这种情况第一反应是网址“网站被黑了”，其实不一定。被篡网址被篡改通常分两种：一种是改修域名DNS被改，用户输入正确域名却指向了错误IP；另一种是网址网站源码里被插了跳转代码，服务器本身没丢，被篡但页面被动了手脚。改修我朋友那个属于前者，他的域名注册商账号密码太简单，被人撞库进去改了DNS记录。

先别急着改代码，从DNS查起

如果你发现域名解析异常，第一步不是登录服务器，而是去域名注册商后台看DNS设置。我让朋友登录他买域名的平台，果然，原本指向他服务器IP的A记录被改成了一个陌生IP。他把记录改回来，等了十分钟，网站恢复正常。但这事没完——攻击者既然能进一次，就能进第二次。他后来查登录日志，发现对方是从一个东欧IP登进来的，用的还是他三年前用过的旧密码。

所以修复DNS劫持，改回记录只是止血。真正要做的是：换一个足够长的随机密码，开启两步验证，检查域名注册邮箱有没有被设置转发规则。很多人忽略邮箱，其实攻击者控制邮箱就能重置域名管理权限。我另一个客户更离谱，他的域名管理邮箱被设置了自动转发到攻击者邮箱，所有密码重置邮件都进了对方口袋。

如果是源码被篡改，找跳转代码

另一种情况是DNS正常，但网站打开后会自动跳转。这种一般是网站程序里被插了JavaScript或者PHP跳转代码。常见位置在首页文件、公共头部文件、或者数据库的某个配置表里。我习惯用grep搜几个关键词：window.location、header("Location:、eval(。有一次在一个客户网站里搜出来一段经过base64编码的代码，解码后是一段跳转到色情站点的脚本。

这种篡改通常是通过漏洞进来的，比如老版本的CMS、弱口令后台、或者上传组件没做过滤。清理掉恶意代码后，必须找到入口并堵上。否则你前脚删，后脚又被传上去。我见过最顽固的一个站，攻击者留了三个后门：一个在图片目录里伪装成jpg的php文件，一个在数据库的wp_options表里，还有一个在主题的functions.php里。只清首页根本没用。

修复之后要做的几件事

改完DNS或者清完代码，别以为就结束了。我自己的习惯是立刻做三件事：第一，用curl -I检查服务器返回的HTTP头，看有没有异常的跳转状态码；第二，在百度搜索资源平台提交死链和更新，避免搜索引擎还收录着被篡改的页面；第三，通知常访问的用户强制刷新DNS缓存，因为本地ISP的缓存可能还要几小时才过期。

还有个细节：如果网站用了CDN，记得去CDN后台刷新缓存。我朋友那次就是，DNS改回来了，但CDN节点上还缓存着赌博页面，用户看到的还是旧内容。刷新缓存后立刻正常。

说到底，网址被篡改这件事，预防比修复重要。密码别复用，后台别用admin，程序及时更新。我见过太多人觉得“小网站没人盯”，结果被批量扫描工具扫中，成了跳转链的一环。修复一次花两小时，但被搜索引擎降权后恢复排名可能要两个月。这笔账，怎么算都不划算。