网站出现不安全怎么办

浏览器地址栏弹出红色警告，网站或者页面突然跳转到赌博网站——这事我上周刚遇到。出现一个做外贸的不安朋友发来链接，说客户反馈打开后显示“此网站不安全”。全办我点进去，网站证书过期，出现页面被注入了一段恶意脚本。不安他完全不知道什么时候被黑的全办。

网站不安全，网站最常见的出现就是SSL证书出问题。要么过期，不安要么域名不匹配，全办要么被浏览器拉黑。网站Chrome现在对HTTP站点直接标“不安全”，出现用户看到扭头就走。不安我见过一个卖手工艺品的独立站，流量掉了四成，查了半天才发现是证书链没配好，安卓手机浏览器不认。

还有一种更隐蔽的：网站被挂马。表面看一切正常，但后台被塞了挖矿代码或者跳转脚本。有个做博客的朋友，服务器CPU跑满，他以为是访问量涨了，高兴了三天。结果是被植入门罗币挖矿程序，访客浏览器成了矿机。这种通常来自插件漏洞——WordPress老版本插件、没更新的主题、弱密码后台。攻击者用扫描器批量找目标，你中招只是时间问题。

发现不安全之后，第一件事是别慌着删库。先隔离：把网站下线，或者至少关掉对外访问。保留现场，日志、文件时间戳、数据库快照都留着。很多人一着急就重装，结果连入侵路径都没搞清楚，过两天又被黑一次。

查日志。Web服务器访问日志里找异常POST请求、奇怪的用户代理、半夜的批量登录尝试。我帮人处理过一次，日志里全是 /wp-login.php 的爆破记录，来自十几个国家的IP。攻击者最后猜中了密码，因为密码是 admin123。别笑，这种事每天都在发生。

如果是证书问题，去SSL Labs跑个测试。它会告诉你哪里配置错了，中间证书缺失、协议版本太老、加密套件太弱。修起来不复杂，Let's Encrypt免费证书加个自动续期脚本，十分钟搞定。但很多人不知道，或者知道了懒得弄。

挂马的话，用 grep 搜可疑代码。常见关键词：eval、base64_decode、shell_exec、document.write 后面跟一长串乱码。对比官方源码，找出被改的文件。WordPress可以重装核心文件，插件主题全部删掉重下。数据库里也可能有恶意注入，比如 wp_options 表里多出来的定时任务。

清理完只是第一步。改所有密码，数据库、后台、FTP、SSH，一个都别漏。加双因素认证。限制后台登录尝试次数。装个WAF，Cloudflare免费版就能挡掉大部分自动化扫描。服务器系统打补丁，别用 root 跑Web服务。

有个细节容易被忽略：检查 .htaccess 和 nginx.conf。攻击者经常在这里加跳转规则，把谷歌爬虫引到垃圾页面。你从浏览器看正常，搜索引擎看到的全是菠菜广告。等发现时，收录已经掉光了。

如果自己搞不定，找专业的人。但别随便搜“网站安全修复”，排名靠前的很多是二道贩子，收钱后转包给兼职学生。找有口碑的安全公司，或者直接联系主机商，有些提供恶意软件清理服务。价格从几百到几千不等，看网站复杂度。

最后说个真实案例。一个电商站被入侵，攻击者在结账页面加了段JS，把用户信用卡信息发到外部服务器。持续了两个月，直到银行风控打电话来。站长一直以为网站“看起来正常”就没问题。安全这事，看不见的比看得见的更危险。定期扫描，保持更新，别等出事再补。