网站劫持怎么办

打开浏览器，网站输入自己的劫持域名，结果跳到了一个博彩网站。网站这种事我遇到过三次，劫持最近一次是网站上个月，一个做外贸的劫持朋友半夜打电话来，说客户反馈他的网站网站变成了“澳门线上赌场”。他急得不行，劫持我让他先别动服务器，网站登上去看了一眼——首页文件被改得面目全非，劫持底部多了一行加密的网站JS代码。

这就是劫持典型的网站劫持。别急着骂服务商，网站也别怪浏览器，劫持问题多半出在自己身上。网站

先搞清楚是怎么被劫的

最常见的一种，是DNS劫持。域名解析被改到了别人的IP上。你访问域名，请求先跑到攻击者的服务器，再由他决定给你看什么。这种情况在中小网站里特别多，尤其是域名注册商和DNS服务商分开管理、密码又设得简单的。我见过一个案例，域名管理后台的密码是“admin123”，攻击者扫到之后，直接改了A记录，整个过程不到两分钟。

另一种是服务器被入侵。网站程序有漏洞，比如老版本的WordPress插件、没打补丁的CMS，攻击者上传一个webshell，然后批量修改首页文件。这种劫持更隐蔽——DNS没问题，服务器IP也没变，但用户看到的内容就是不对。有时候攻击者还会做判断：来自搜索引擎的流量跳博彩，直接访问的显示正常页面，站长自己查半天查不出来。

还有一种是本地劫持。用户电脑中了病毒，hosts文件被改，或者浏览器被装了恶意插件。这种情况站长自己访问正常，但部分用户反馈有问题。判断方法很简单：让用户用手机4G网络访问，如果正常，那就是本地问题。

怎么排查和恢复

发现被劫持后，第一件事是确认劫持范围。用多个工具查：ping域名看解析IP对不对，用在线DNS查询工具对比全国各地的解析结果，再用curl -I直接请求服务器IP看返回内容。如果解析IP不对，那就是DNS劫持；如果解析正常但内容不对，那就是服务器被入侵。

DNS劫持的处理相对简单：登录域名管理后台，改回正确的解析记录，改掉弱密码，开启二次验证。如果服务商支持DNSSEC，也建议开启。但别忘了检查域名注册邮箱是否被入侵——有些攻击者会先控制邮箱，再通过“找回密码”重置域名管理权限。

服务器入侵就麻烦一些。先备份被篡改的文件，然后检查最近修改过的文件：find /var/www -mtime -7 -type f，看看哪些文件在近期被改动过。检查有没有可疑的定时任务、陌生的SSH登录记录、异常进程。我一般会直接重装系统，从备份恢复网站，然后更新所有程序到最新版本。别想着手动清理，你永远不知道攻击者留了多少后门。

预防比补救重要

域名管理后台的密码，别跟其他任何账号共用。开启二次验证。DNS服务商选靠谱的，别用免费还常年不维护的。

服务器层面，SSH别用密码登录，改用密钥。Web目录权限设好，别给777。程序及时更新，插件别乱装。有条件的话，装个WAF或者至少开个文件完整性监控。

另外，定期备份。我见过太多人出事之后才发现备份是三个月前的，或者备份文件也在同一台服务器上。备份要异地、要离线、要定期验证能不能恢复。

网站劫持这事，碰上了确实头疼，但处理多了会发现套路就那么几种。关键是自己平时别偷懒，该做的安全措施做到位。攻击者也是挑软柿子捏，你稍微硬一点，他就换目标了。