怎么处理网站劫持

昨天凌晨三点，处理我朋友老张的网站电商网站被劫持了。用户访问他的劫持域名，直接跳到一个赌博平台。处理他急得打电话给我时，网站后台数据显示流量掉了百分之七十。劫持

网站劫持这事，处理说白了就是网站有人在你家大门上动了手脚，把访客引到别处去。劫持最常见的处理三种手法：一是域名解析被篡改，二是网站服务器植入恶意代码，三是劫持CDN节点被污染。老张遇到的处理是第一种——他的域名注册商账号密码泄露了。

处理劫持，网站第一步永远是劫持先止血。别急着查原因，先登录域名注册商把解析记录锁死，开启二次验证。老张当时连域名商后台都登不进去，因为对方把他账号密码改了。他只能打客服电话，折腾了四十分钟才拿回控制权。这四十分钟里，每秒钟都有真实客户在流失。

拿到控制权后别急着改解析。先截图保存所有异常记录，包括被篡改的DNS记录、跳转的URL、劫持页面的源码。这些是后续追责和申诉的证据。老张当时没截图，直接删了异常记录，结果后面想投诉都没法证明。

第二步是排查服务器。用SSH连上去，先看进程列表，找那些CPU占用异常但名字陌生的进程。再用netstat -tunlp查看对外连接，重点留意访问非标准端口的IP。老张服务器上有个叫kworkerds的进程，伪装成内核线程，实际上是个挖矿程序，顺带干劫持的活。

查文件修改时间是个笨但有效的办法。用find / -mtime -3 -type f找出最近三天改动的文件，逐个检查。老张的服务器上多了个/tmp/.X11-unix/目录，里面藏着个PHP后门文件。这种路径一看就是故意的，正常系统不会有这种目录。

如果你用的是第三方CDN，劫持可能发生在节点层。这种情况最麻烦，你本地看到的正常，但部分地区用户被劫持。用curl -I http://你的域名对比不同地区的响应头，看Server字段是否被篡改。老张没用CDN，省了这一层麻烦。

清理完恶意代码，改掉所有密码——服务器root密码、数据库密码、FTP密码、域名商密码，全部换成高强度新密码。老张改完密码后，还做了一步关键操作：把服务器上的SSH密钥全部重置，删除了所有未知的authorized_keys文件。

处理完技术层面的，别忘了向搜索引擎提交申诉。如果你的网站被劫持期间被搜索引擎标记为恶意站点，需要在百度搜索资源平台和Google Search Console提交恢复请求。老张的网站被百度标记了，他提交了三次申诉，附上清理前后的截图和日志记录，等了四天才恢复。

最后说点实在的。劫持这种事，预防比处理省心一百倍。域名开启域名锁，服务器装个免费的安全软件，定期备份。老张现在每个月花两小时做一次全面检查，他说以前觉得麻烦，现在觉得值。

网站被劫持不是世界末日，但处理不及时，搜索引擎降权、用户流失、品牌受损，这些连锁反应才真要命。你按着这个顺序来，至少能控制在两小时内恢复业务。别慌，按步骤走，大多数劫持都能解决。