电话是派出下午三点打来的。一个陌生号码，所电我接了，话说对方直接报出我名字，网站说自己是漏洞某某派出所的民警，警号多少多少。派出然后问我：你是所电不是有个网站，域名是话说什么什么？我说是。他说你网站存在漏洞，网站被人上传了违法信息，漏洞现在需要你配合处理。派出

第一反应是所电诈骗。这年头冒充公检法的话说太多了，我差点直接挂掉。网站但他没提转账，漏洞没提安全账户，也没让我下载什么App。他只是说，你方便的话来派出所一趟，或者我们加个微信，把漏洞截图发给你看。

加了微信。对方发来几张截图，我一看就愣住了。是我网站的后台登录页面，但URL后面跟了一串奇怪的参数。再往下翻，是一个我从来没见过的页面，标题被改成了乱七八糟的字符，内容全是博彩推广链接。页面的确挂在我域名下面。

那个网站是我两年前搭的，一个很小的技术博客，用的是某个开源CMS。当时装完就没怎么管过，版本一直没升级。后台密码也设得简单，想着反正没什么流量，没人会盯上。事实证明我错了。对方怎么进来的我不知道，但结果就是，他拿到了后台权限，往模板文件里塞了垃圾页面。搜索引擎已经收录了那些链接，点进去就是赌博网站。

民警说，他们是接到上面下发的线索，扫描到我的域名涉及违规内容。让我尽快清理，不然可能会被关停，严重的话还要追究责任。语气不算严厉，但也没给我留什么商量的余地。

挂了电话我马上登录服务器。后台还能进，但文件已经被改得面目全非。我先是把那个CMS升到最新版，然后改了数据库密码、后台密码、FTP密码，能改的全改了一遍。又把被篡改的模板文件删掉，重新从官方包裡提取了原始文件覆盖上去。折腾了大概两个小时，网站总算恢复了正常。

但事情没完。过了三天，民警又发来消息，说让我去派出所做个笔录。我去了。一间小办公室，一台电脑，一个年轻民警。他打开一个系统，里面列着我域名的违规记录，让我确认那些页面是不是我发的。我说不是，是被黑的。他点点头，说知道，但流程还是要走。然后打印了一份《网络安全责任告知书》，让我签字。内容大概是：作为网站运营者，你有义务保障网站安全，定期检查漏洞，及时清理违规内容。如果再次出现类似情况，可能会面临行政处罚。

签完字出来，我站在派出所门口抽了根烟。说实话，有点后怕。如果那些页面不是博彩，而是更严重的内容，我可能就不是签个字这么简单了。网站是我的，域名是我的，服务器也是我的，出了事，责任就是我的。不管是不是被黑的。

回去之后我把那个博客彻底关了。不是怕麻烦，是觉得没精力维护。一个没人看的网站，留着就是个隐患。后来跟朋友聊起这事，他说他也遇到过，网站被传了色情图片，网警直接打电话让他删。他删完就没事了，没像我这样还要跑一趟派出所。

我查了一下相关法规。《网络安全法》第二十一条写得清楚：网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。其中就包括“采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施”。说白了，你开了网站，就得负责它的安全。被黑了，是你没尽到义务，不是黑客的错——至少在法律层面，先追你的责。

现在想想，那个民警其实挺客气的。他完全可以按程序走，先通知我限期整改，不整改就罚款。但他没有，他只是让我去一趟，签个字，提醒我注意。可能他也知道，像我这种个人站长，根本没什么安全意识，纯粹是运气不好被扫到了。

这事给我最大的教训就是：任何暴露在公网上的服务，哪怕再小，都得当回事。版本要更新，密码要复杂，日志要定期看。不然哪天接到电话，就不是让你清理那么简单了。