网站篡改

去年秋天，网站篡改一个做外贸的网站篡改朋友半夜给我打电话，说官网首页被换成了一张黑底红字的网站篡改图片，上面用俄语写着“你们的网站篡改客户数据在我们手里”。他以为只是网站篡改首页被改，结果登录服务器一看，网站篡改产品页、网站篡改联系方式、网站篡改甚至robots.txt都被动过。网站篡改攻击者没删库，网站篡改只改了前台展示——这恰恰是网站篡改最恶心的做法：客户看到的是假信息，而企业自己可能几天都发现不了。网站篡改

网站篡改和拖库不同。网站篡改拖库是网站篡改偷数据，篡改是网站篡改改门面。改门面这件事，技术门槛可以很低。低到什么程度？一个弱口令。很多中小企业的后台管理员账号是admin，密码是公司名加123。攻击者用扫描器全网扫一遍，这类站点就像没锁的自行车，顺手就骑走了。我见过一个案例，攻击者甚至没用什么漏洞，就是猜中了某CMS默认的登录路径和默认密码，进去之后把首页替换成了一张表情包。企业主第二天才发现，因为客户在微信上问“你们官网怎么变成狗头了”。

但别以为只有小站才中招。供应链攻击是更隐蔽的路径。你用的建站系统、你引用的第三方JS库、你CDN上的某个边缘节点配置失误，都可能成为入口。2018年那次著名的第三方分析脚本被篡改事件，导致大量电商网站的支付页面被注入恶意代码，用户输入信用卡号时数据直接流向攻击者服务器。表面上看网站内容没变，但关键页面已经被“逻辑篡改”了。这种篡改不换首页图片，只改几行代码，普通用户完全无感。

篡改的目的也在变。早些年多是炫技，黑页面上留个“Hacked by XXX”的署名，像街头涂鸦。现在更常见的是SEO寄生虫和流量劫持。攻击者在你网站里生成大量隐藏页面，内容全是博彩、色情或假冒商品的关键词。搜索引擎收录这些页面，用户搜“某某产品”时，结果里出现你的域名，点进去却跳转到赌博网站。你的网站成了别人的跳板，而你的品牌在搜索引擎里慢慢被降权。这种篡改不显眼，但伤害是长期的。

怎么发现？不能只靠肉眼刷首页。文件完整性监控是基本手段，对核心文件做哈希校验，一有改动就告警。但很多企业连日志都不看。我见过一个运维，网站被篡改了两周，直到客户投诉“你们产品页怎么在卖壮阳药”才知道。查日志发现，攻击者每天凌晨三点通过一个老旧的上传接口传WebShell，传了一个月，他一次都没翻过日志。日志不是用来存的，是用来看的。

防御上，WAF能挡掉大部分自动化扫描，但挡不住针对性的逻辑漏洞利用。真正有效的做法是减少攻击面：后台路径改掉，默认账号删掉，不用的插件卸掉，上传目录禁止执行脚本。这些操作不复杂，但需要有人认真做一遍。很多企业买了几万块的防火墙，却没人愿意花半小时改掉默认密码。安全这件事，有时候不是钱的问题，是习惯的问题。

网站篡改像家里的门锁被换了。你回家发现钥匙插不进去，才知道有人来过。但更可怕的是，门锁没换，只是被人配了一把钥匙，随时能进。你每天照常开门，却不知道客厅里已经坐了一个陌生人。