网站劫持修复

凌晨三点，网站我盯着浏览器地址栏里那个多出来的劫持“hao123”，后背发凉。修复昨天刚给客户做完网站SEO优化，网站今天首页就被劫持跳转到导航站。劫持这不是修复个例——我上个月处理过一家做外贸的独立站，被注入恶意脚本后，网站谷歌直接把它标记为“ deceptive site”，劫持流量掉了七成。修复

网站劫持分两种。网站一种是劫持DNS层面的，你输入域名，修复它把你偷偷送到别的网站服务器。另一种更隐蔽，劫持直接改你服务器上的修复代码，往HTML里塞iframe或者JS跳转。我见过最狠的，把整站源码都替换成赌博页面，数据库倒是留着，但页面上的产品全变成了百家乐入口。

修复的第一步，先别急着删文件。你得搞清楚对方是怎么进来的。查FTP登录日志，看有没有陌生IP在凌晨两点上传过文件。查服务器SSH记录，看root权限有没有被爆破。我碰到过一个案例，客户用的是弱密码“admin123”，黑客进来后改了所有文件权限，还留了个后门在wp-config.php里——你删掉表面上的恶意代码，他第二天再从后门进来，重新注入一遍。

真正要动手的时候，先把网站源码整个下载到本地，用diff工具对比你上次备份的版本。没备份？那只能靠经验找异常文件了。注意看那些时间戳很新的PHP文件，尤其是根目录下的，还有uploads文件夹里的——黑客最爱把木马伪装成图片上传上去，文件名带随机字符，比如“d41d8cd98f00b204e9800998ecf8427e.php”这种。

改完文件，改密码。所有密码，FTP、数据库、后台管理员，一个别漏。最好带上大小写字母、数字和特殊符号，长度至少16位。别嫌麻烦，我见过一个客户改完源码后只改了后台密码，结果FTP还是原来那个，第二天又被入侵了——对方就是靠FTP重新传的木马。

服务器层面的清理也得做。查一下有没有定时任务被篡改，crontab -l 看看有没有奇怪的脚本在跑。查一下系统进程，有没有可疑的python或perl进程在监听端口。如果你用的是宝塔面板，直接看安全里的“入侵检测”，多少能给出点线索。

等网站恢复正常了，别急着上线。先用安全扫描工具扫一遍，比如Wordfence或者在线工具如Sucuri SiteCheck。再检查一下网站源代码里有没有残留的加密eval函数——很多恶意代码都藏在eval(gzinflate(...))这种结构里，肉眼很难看出来。

最后说句实话，预防比修复重要得多。定期备份是最低要求，最好每天自动备份到异地。装个WAF，能挡掉大部分常见攻击。别用那些老掉牙的开源CMS不更新，插件漏洞是重灾区。我见过太多人图省事，一个dedecms用了五年没升级，结果被批量扫描漏洞挂马。

说到底，网站劫持修复就是个跟黑客比耐心的活。你得比他更熟悉你的代码，更勤快地备份，更谨慎地管理权限。要是实在搞不定，找个靠谱的安全公司做一次深度排查，几千块钱换你几个月的安稳觉，这笔账不算亏。