昨天半夜，网站朋友老周发来一串语音，被劫声音都抖了：“我的持办sf网站打不开了，弹出来个赌博页面，网站是被劫不是废了？”

我让他别慌，先断网，持办用手机流量打开自己网站看一眼。网站结果域名还在，被劫内容没被改，持办只是网站首页被加了一段跳转代码。这种情况，被劫八成是持办FTP密码或者后台账号被扫了，不是网站服务器被端走那种大事。

先做最要紧的被劫一步：立刻改掉所有能改的密码。FTP、持办数据库、网站后台、服务器SSH，一个都别留。密码别用生日加拼音那种，用一串长乱码，记在本地密码本里。改完密码，再检查一下有没有多出来的管理员账号——很多劫持是留了后门的，光改密码不删后门等于白干。

改完密码，接下来要清理恶意代码。别急着用备份覆盖，先看看被改了什么。拿FTP把网站文件全部拉下来，本地用编辑器搜“eval”“base64_decode”“document.write”这些敏感函数。老周那站就是被塞了一个加密的PHP文件，在index.php顶部require了一下。删掉这个文件，再把index.php里被加的那行删干净。

这里有个坑：有些劫持代码是藏在图片或者正常文件里的，比如某个看似无害的js文件末尾被追加了一段。你光搜关键词可能搜不到，因为对方做了编码混淆。我一般直接把整站下载后，对比之前备份的哈希值，或者干脆用git管理，diff一下就知道哪里被动过。要是没备份，就重点排查最近7天内被修改过的文件。

清理完代码，别急着上线。先检查一下服务器上的定时任务（crontab），有些劫持脚本会设置定时任务，过几分钟又把代码写回去。老周那次就是漏了这个，删完代码，过了半小时又被写回去了。查crontab -l，把不认识的任务全删掉，同时看下启动目录里有没有可疑的sh脚本。

还有一个容易被忽略的地方：数据库。有些劫持是针对后台登录的，它会在你的数据库表里插入一个隐藏管理员。你去后台用户列表可能看不到，但直接查SQL就能发现。比如一个用户名叫“admin_”后面带几个不可见字符的，或者邮箱是乱码的。这类账号直接删掉。

如果以上都做完了，网站还是被劫持，那问题可能出在域名解析上。登录你的域名管理后台，看看DNS解析记录有没有被改。有些劫持是DNS层面的，域名被解析到了别的IP。这种情况比较少见，但一旦遇到，你改代码完全没用。把A记录改回你服务器的IP，然后开启域名锁（Registrar Lock），防止域名被转移走。

最后说个实在话：sf网站本来就是灰色地带，服务器商和域名商随时可能封你，所以很多人把网站放在海外服务器上，又没做好安全防护，等于裸奔。我见过太多站长，后台密码是“admin123”，FTP密码跟QQ密码一样。被劫持真不算冤。

老周这次折腾了三个小时，总算把网站弄回来了。他问我以后怎么办。我说你加个双因素认证吧，后台登录和FTP都绑上手机验证码。再装个文件监控插件，文件被改动就发邮件通知你。别嫌麻烦，被劫持一次，损失的可不只是时间——那些被跳转走的用户，可能再也不会回来了。

(责任编辑：焦点)