昨天半夜，网站我朋友老周打来电话，被挂声音都抖了：“我网站打不开，赌博的网一打开全是站办赌博广告，红红绿绿的网站，还他妈自动跳转。被挂”

我让他别慌，赌博的网先别碰服务器，站办赶紧把域名解析记录截图发我。网站他发过来一看，被挂果然——DNS记录里多了两条奇怪的赌博的网A记录，指向一个境外IP。站办这不是网站被黑进服务器，是被挂域名被劫持了。

这种事儿这两年特别多。赌博的网黑客不一定攻破你的网站，他们盯上的是你的域名管理后台。很多小站长用的域名注册商密码简单，或者绑定的邮箱早就被拖库了，黑客拿邮箱一重置密码，域名控制权就没了。然后他们把解析改到赌博站，或者干脆做个泛解析，你所有子域名全跳转。

所以第一步，先去你的域名注册商那里，强制修改密码，开启两步验证。别用QQ邮箱，用专门的域名管理邮箱，密码搞成20位随机字符。这一步必须在五分钟内完成，因为黑客可能正在批量操作你的账号。

第二步，检查DNS解析记录。把所有不是你自己添加的记录全删掉。重点看A记录、CNAME、MX记录，还有那个叫“TXT”的玩意儿——有些黑客会加一条TXT记录，用来做域名验证，把子域名挂到他们的服务器上做赌博站。

我见过最狠的案例，是黑客把老周的域名解析到一个叫“bet365-福利版”的仿冒站，但老周的服务器本身一点没动，网站文件全是干净的。这种反而好办，清完解析就完事。但有些情况更麻烦——黑客直接攻破了服务器，在Web目录里塞了一整套赌博页面，还改了Nginx配置，把正常请求都重定向过去。

这时候你得登录服务器，先别急着删文件。用命令查一下最近24小时被修改过的文件：find /var/www -mtime -1 -type f。看到可疑的PHP文件别手软，直接删。但更关键的是查计划任务——黑客常在里面挂个定时脚本，每五分钟重新生成一次赌博页面。用crontab -l看看，有奇怪的就清掉。

还有一个隐蔽位置，就是你的网站根目录下可能被放了个.htaccess文件（如果你用Apache），或者Nginx的配置文件里被加了rewrite规则。这些规则能把用户流量从正常页面劫持到赌博站，但你直接访问IP却看不出来。把配置文件打开，一行行看，发现和业务无关的跳转代码就删。

处理完服务器，别急着上线。先检查一下你的网站有没有被挂黑链——就是在页面底部或者CSS文件里藏了赌博站的链接。用Google搜“site:你的域名”，看有没有异常收录页面。如果有，去Search Console提交死链，同时把网站地图重新生成一遍。

最后，也是很多人忽略的一步——查你自己的电脑。黑客能拿到你域名后台权限，大概率是你电脑中了木马，键盘记录器把你密码全传走了。用杀毒软件全盘扫一遍，最好再用火绒或者Malwarebytes做二次扫描。我见过有人清理完服务器，第二天又被挂，就是因为本机还带着毒。

整个过程，从发现到处理完，大概四到六小时。老周那晚被我指挥到凌晨三点，最后域名解析生效，网站恢复正常。他长舒一口气，说了一句特别实在的话：“妈的，比被偷钱包还难受，钱包里没钱，网站里全是心血。”

对了，处理完记得去工信部备案系统看看，如果赌博站被举报过，你的备案号可能被拉黑。如果真被注销了，得重新备案，那才是真正麻烦的开始。所以平时养成习惯——域名和服务器密码每三个月换一次，别用同一个密码管所有平台。这行当，细节能救命。

(责任编辑：热点)