网站被劫持修复工具

昨晚凌晨两点，网站我朋友老周发来一张截图，被劫他的持修网站首页被改成了满屏的赌博广告。域名没到期，复工服务器没宕机，网站但访问任何页面都会跳转到境外博彩站。被劫他急得直跺脚——这已经是持修本月第三次了。

网站被劫持，复工说白了就是网站有人在你家大门外挖了条暗道，把客人全引到黑店去。被劫最常见的持修作案手法分三种：DNS被污染、服务器被植入代码、复工或者CDN节点被篡改。网站前两种占八成以上，被劫修复起来没那么玄乎，持修但得按顺序来。

先说DNS劫持。你打开网站时，浏览器先问“域名服务器”这个门卫：老张家的网址在哪儿？如果门卫被收买了，直接指个假地址，用户就去了钓鱼站。遇到这种情况，别急着改代码，先拿手机流量访问试试——如果4G网络下网站正常，WiFi下就跳转，那多半是你路由器或本地DNS被动了手脚。换个公共DNS，比如114.114.114.114或8.8.8.8，八成能解决。

更麻烦的是服务器端劫持。攻击者往你的PHP文件、JS脚本里塞一段加密跳转代码，或者干脆改了.htaccess规则。这时候别慌着删文件，先备份，再排查。有个笨办法特管用：把网站源码下载到本地，用文本编辑器全局搜索“eval(”“base64_decode(”“document.write(”这些危险函数。我见过最隐蔽的一次，黑客把代码藏在图片文件的EXIF信息里，加载时再拼接执行，光靠肉眼根本看不出来。

要是你用的是WordPress或类似CMS，还得检查wp-config.php和主题的functions.php。攻击者常在这些文件末尾加一段“定时任务”，每天凌晨三点自动从远程服务器拉新木马。删掉代码不够，得把cron任务也清干净。顺便查一下服务器上的计划任务列表，输入crontab -l，看到不认识的URL就删。

修完代码，别忘了改密码。FTP、数据库、后台管理员的密码全换一遍，最好用密码管理器生成那种带符号的随机串。上次帮一个客户处理劫持，清理完所有恶意代码后，第二天又中了——后来一查，他的FTP密码是“admin123456”，黑客早就留了后门。改完密码，再检查一下服务器上的SSH密钥，把不认识的公钥全部删掉。

最后一步，给网站套个“防护罩”。安装安全插件、开启强制HTTPS、设置文件写入权限，这些都能提高下次被攻破的门槛。但说句实在话，没有绝对的安全。我能给你的最靠谱建议是：每次被劫持后，在本地留一份干净的备份，把修复过程写成笔记。下次再遇到，照着步骤走，半小时就能搞定。老周现在学乖了，每星期自动备份一次，还养成了看服务器访问日志的习惯。他说，以前觉得黑客离自己很远，现在才知道，网站就像房子，你不锁门，总有人想进来翻翻。