网站首页被篡改成赌博信息了怎么办

凌晨两点，网站手机响了。首页一个做外贸的被篡办朋友语气发紧：“你帮我看看，我网站首页怎么变成赌场了？改成”我打开他发来的链接，浏览器标题栏赫然写着“澳门XX娱乐城”，赌博页面大红大绿，信息滚动着“百家乐”“真人荷官”的网站字样。他自己的首页公司介绍、产品图片全不见了。被篡办这不是改成个例，过去半年我至少遇到五起类似情况。赌博

首页被篡改，信息通常意味着服务器已经被攻破。网站攻击者拿到权限后，首页最省事的被篡办做法就是直接改掉首页文件，把流量导去赌博站点赚佣金。他们不会只改一个文件——你打开FTP或SSH，会发现index.php、index.html的修改时间集中在某个凌晨时段，内容被替换成一段跳转代码或整页赌博HTML。有些狡猾的还会留一个后门，比如在.htaccess里加一行RewriteRule，只对搜索引擎的蜘蛛返回赌博页面，普通用户访问时看起来正常，但百度快照里全是赌场信息。

先别急着删文件。第一步是切断攻击者的持续访问。改掉所有密码：服务器SSH、数据库、FTP、网站后台、CDN账号。如果用的是宝塔面板，检查面板端口是否暴露在公网，默认8888端口被扫是家常便饭。有个客户就是面板密码太弱，攻击者直接通过面板文件管理器改的首页。另外查看服务器上有没有陌生的定时任务（crontab -l），有些后门会每隔几分钟重新写入赌博代码，你删了也没用。

接着定位入侵点。常见入口就那几个：CMS漏洞（WordPress插件、织梦、ThinkPHP老版本）、弱口令、上传功能过滤不严。翻一下网站根目录下的access.log，找那些POST请求到奇怪路径的记录，比如/uploads/2023/xxx.php。我见过一个案例，攻击者上传了一个叫cache.php的文件，里面就一行eval($_POST['cmd'])，然后通过它改首页。把这个文件删掉，但别漏了其他同伙——用find . -name "*.php" -mtime -7列出最近七天被修改过的PHP文件，逐个检查。

首页文件本身要恢复。如果你有备份，直接覆盖。没备份的话，从CMS官方重新下载一份干净的index.php，把里面的配置信息（数据库连接等）手动填回去。注意检查header.php、footer.php这些公共文件，攻击者经常在里面插入一行iframe或JS跳转代码。有个小技巧：用grep -r "casino\|bet\|六合彩" .在网站目录里搜一遍，能快速找出所有被篡改的文件。

处理完这些，别以为就结束了。去百度搜索资源平台提交死链，把被黑的页面删掉，否则快照里还挂着赌博内容，影响品牌。如果网站有SSL证书，检查一下有没有被替换成自签名的钓鱼证书。最后，把服务器系统、CMS、插件全部升级到最新版，关掉不用的端口和服务。我那个外贸朋友后来查出来是WordPress的某个SEO插件有SQL注入漏洞，攻击者通过它拿到了管理员密码。他花了一整天才清理干净，首页恢复后排名掉了不少，过了三周才慢慢回来。

说句实在的，网站被黑不丢人，丢人的是发现了还拖着不处理。赌博信息挂在那，搜索引擎会标记为恶意站点，用户也不敢点。动作快的话，半天能搞定；拖上几天，损失的可就不只是首页了。