网站老是网站被跳转怎么办

上周有个做外贸的朋友找我，说他的老被独立站一打开就自动跳到博彩页面。他换了服务器、跳转重装了WordPress，网站甚至把域名都换了，老被三天后照样被跳。跳转他问我是网站不是被黑客盯上了。我说你先别急着换域名，老被把网站源码下载下来，跳转搜一个词：base64_decode。网站

他照做，老被在wp-config.php里找到了一段被注释掉的跳转代码，看着像乱码。网站删掉之后，老被跳转停了。跳转这不是什么高级攻击，就是有人拿到了他的后台权限，在配置文件里塞了一段PHP。网站跳转这事，八成不是服务器的问题，是代码里藏了东西。

先搞清楚是哪种跳

跳转分两种。一种是打开网站立刻跳，地址栏变了，用户根本没看到你的页面。另一种是点某个链接才跳，比如从百度搜进来正常，点内页就飞了。前者通常是全局文件被污染，后者多半是文章内容或数据库被注入了脚本。

还有一种更隐蔽的：只在手机端跳，电脑上一切正常。这是通过User-Agent判断的，代码里会写if (strpos($_SERVER['HTTP_USER_AGENT'], 'Mobile'))之类的逻辑。你拿电脑测半天测不出来，换个手机一打开就中招。

几个必须查的位置

先看根目录的index.php和.htaccess。前者常被插入header("Location: ...")，后者可能加了RewriteRule把流量导走。.htaccess的跳转规则写得很像正常配置，不懂的人一眼扫过去根本看不出来。

然后进wp-content/themes/，找你正在用的主题文件夹，打开functions.php。这是重灾区。攻击者喜欢把跳转代码塞在主题函数里，因为主题更新不会覆盖这个文件。我见过一段代码写在after_setup_theme钩子里，前面还加了if (!is_admin())，意思是管理员登录时不跳，只坑普通访客。

数据库也别放过。wp_posts表里搜<script，wp_options表里搜siteurl和home，看这两个值有没有被改。有人会把siteurl改成自己的域名，导致所有资源加载都指向外部。

清理比查找更难

找到恶意代码只是第一步。麻烦的是你删了之后，过几天又冒出来。这说明攻击者留了后门，可能是wp-content/uploads/里一个伪装成图片的PHP文件，也可能是一个你从没注意过的管理员账号。

去wp_users表里看，有没有不是你自己创建的admin或editor角色。再看wp_options里的cron任务，有人会挂一个定时任务，每隔几小时重新注入代码。我遇到过一个案例，后门藏在wp-includes/rest-api/目录下一个叫class-wp-rest-post.php的文件里，文件名和官方文件只差一个字母。

实在搞不定就上手段

如果你不懂代码，最直接的办法是装一个Wordfence或者Sucuri。它们能扫描文件改动，发现异常会告警。但别指望插件能自动清干净，有些后门插件也扫不出来。

另一个办法是看服务器访问日志。搜POST /wp-admin或者POST /xmlrpc.php，看有没有陌生IP在频繁请求。找到之后直接封IP，再改数据库密码和WordPress后台密码。密码别用字典词，admin123这种，暴力破解几分钟就进去了。

最后说个实在话：如果网站跳转反复出现，而你又不是技术出身，找个靠谱的人帮你做一次完整的安全清理。花几百块比你自己折腾一周强。跳转这事拖不得，搜索引擎一旦判定你网站恶意跳转，收录和排名掉得很快，恢复起来比清理代码麻烦十倍。