```html

凌晨三点，网站老张被手机铃声吵醒。被劫客户在电话那头吼：“你那个破网站怎么跳转到赌博页面了？持何”他打开笔记本，输入域名，修复回车——浏览器地址栏确实是网站他熟悉的网址，但页面是被劫一片花花绿绿的骰子动画。这就是持何典型的网站劫持。不是修复服务器宕机，不是网站域名过期，而是被劫有人在你和用户之间，硬生生插了一脚。持何

劫持分好几种。修复DNS劫持最粗暴，网站攻击者直接篡改域名解析记录，被劫把流量引到自己的持何IP上。我见过一个案例，某地方门户网站的DNS被改到了境外服务器，用户访问时看到的竟然是英文博彩页面。还有一种叫HTTP劫持，运营商或者中间节点在数据包里注入广告代码，你打开网页，右下角突然弹出一个“澳门首家线上赌场上线啦”的浮窗。最隐蔽的是ARP欺骗，局域网里有人冒充网关，整个办公室的电脑访问网站都会跳到钓鱼页。

怎么判断自己中招了？别急着改代码。先做三件事：第一，用不同网络环境访问——手机4G、家里宽带、公司WiFi。如果只有某个网络跳转，问题出在本地或运营商。第二，查DNS解析记录。登录域名管理后台，看A记录、CNAME记录有没有被改过。第三，用在线工具比如“站长工具”的Ping检测，看全国各地返回的IP是否一致。如果北京返回1.1.1.1，上海返回2.2.2.2，那基本可以确定是DNS劫持。

修复的第一步，改密码。不是只改网站后台密码，而是所有相关账户：域名注册商、DNS服务商、服务器SSH、数据库、CDN后台。我见过一个站长，只改了WordPress密码，结果黑客通过旧版插件的漏洞又爬了回来。密码要长，要包含大小写字母、数字、符号，别用“admin123”这种。开启两步验证，能开的地方全开。

第二步，检查DNS设置。如果DNS被改，立刻改回正确的IP。同时把DNS服务商换成靠谱的，比如Cloudflare、阿里云DNS。别用免费的小众DNS，那些往往是攻击者的跳板。如果服务器IP被污染，考虑换IP。换完IP后，在搜索引擎提交死链，通知用户新地址。

第三步，查服务器。SSH登录，看有没有陌生进程、异常定时任务、被篡改的网页文件。用find / -name "*.php" -mtime -7找最近七天修改过的PHP文件。我曾在某个客户服务器上发现一个叫“cache.php”的文件，内容只有一行：<?php header("Location: http://bad.com"); ?>。删掉它，然后检查.htaccess文件有没有被加跳转规则。

第四步，修复网站代码。如果用的是CMS，比如WordPress、织梦，升级到最新版。删掉不用的插件和主题。数据库里搜一下有没有被插入恶意脚本，比如<script>标签里带陌生域名。我习惯用grep -r "eval(" /var/www/扫一遍，eval函数是后门的常客。

第五步，上HTTPS。HTTP明文传输，中间人想怎么改就怎么改。上SSL证书，全站强制HTTPS。再配一个HSTS头，告诉浏览器以后只走HTTPS。这样运营商劫持就难下手了。

最后，别以为修完就没事了。挂个监控，比如UptimeRobot，每分钟检测一次网站状态。如果发现跳转，立刻报警。我自己的博客就设了三个监控点：北京、上海、广州。有一次广州节点返回了302跳转，我五分钟内就收到了邮件。查下去，是当地一个小运营商搞的鬼。

网站劫持像家里进了贼。你不仅要赶走他，还得换锁、装摄像头、检查有没有丢东西。别只删个跳转代码就完事，那等于把小偷从窗户扔出去，门还开着。

```