网站页面被篡改

凌晨三点，网站值班手机响了。页面客户那边说官网首页变成了一个黑底红字的被篡页面，上面滚动播放着“Hacked by ...”。网站我打开电脑，页面输入域名，被篡回车——果然，网站原本的页面产品展示页没了，取而代之的被篡是一段挑衅文字和一张动态骷髅图。这不是网站电影里的情节，是页面上周真实发生的事。

网站页面被篡改，被篡说白了就是网站有人未经授权，把你的页面网页内容换成了他想让你看到的东西。听起来简单，被篡但背后的门道不少。最常见的一种，是攻击者拿到了你的后台管理权限。比如你用的CMS系统（像WordPress、织梦这类）没及时打补丁，或者管理员密码设成了“admin123”，对方通过暴力破解或者已知漏洞就能直接登录，然后在后台把首页内容改掉。整个过程可能只需要几分钟。

还有一种更隐蔽的——SQL注入。攻击者在你网站的输入框里填一段恶意代码，比如在搜索框或者登录框里输入 ' OR 1=1 -- 这类语句。如果网站没做过滤，数据库就会被操控，轻则数据泄露，重则直接改写页面内容。我见过一个案例，某电商网站的商品详情页被注入了赌博链接，用户点进去就跳转到境外博彩站。老板直到接到用户投诉才发现，那时候已经过去三天了。

文件包含漏洞也常被利用。有些网站代码写得随意，比如 include($_GET['page']); 这种写法，攻击者只要把page参数改成远程服务器上的恶意文件地址，就能让网站加载并执行他的代码。结果就是页面被替换成他想要的内容。这种漏洞在老旧系统里特别多，很多小公司图省事，用了几年前的建站程序，一直没升级。

那怎么发现页面被篡改？最直接的办法是定期用浏览器访问自己的网站，看看首页、栏目页、详情页有没有异常。但靠人工看太累，也不及时。更靠谱的是用监控工具，比如设置一个定时任务，每隔几分钟抓取一次页面，对比MD5值。一旦发现变化就报警。另外，搜索引擎有时候比你还先知道——如果你的网站在百度搜索结果里标题变成了“XX娱乐城”，那基本可以确定被黑了。

发现之后怎么办？第一步，立刻断开网站的外网访问，或者切换到维护页面，防止攻击者继续操作。第二步，从备份里恢复页面。但要注意，备份必须是干净的——有些攻击者会潜伏很久，你恢复后他还能再次篡改。第三步，排查入侵途径。查服务器日志，看最近有哪些异常IP访问了后台，哪些文件被修改过。第四步，修补漏洞。该升级的升级，该改密码的改密码，该加WAF的加WAF。最后，如果涉及用户数据泄露，还得按规定上报。

说个我自己的观察：很多网站被篡改，根源不在技术多高明，而在管理太松懈。我见过一个客户，服务器root密码是“123456”，FTP密码是“888888”，后台管理员账号是“admin”。这种配置，不被黑才奇怪。还有的网站，开发人员离职后，代码里留了后门，比如一个隐藏的 eval($_POST['cmd']);，随时可以远程执行命令。这些都不是什么高级攻击，就是日常疏忽攒出来的雷。

页面被篡改这件事，说大不大，说小不小。小公司可能觉得“反正没人看”，但一旦被搜索引擎标记为危险网站，流量直接归零。大公司更麻烦，用户信任度下降，品牌受损。所以别等到首页变成黑页才着急，平时多看一眼日志，少用弱密码，及时打补丁，比什么都强。