上个月我朋友的网站电商站被劫持了，用户点进商品页，劫持跳出来一个澳门赌场广告。修复他一开始还以为是网站服务器抽风，重启了三次，劫持问题照旧。修复最后查出来，网站是劫持后台的某个插件被人塞了恶意代码，专门在用户访问时偷偷改页面内容。修复

网站劫持说白了，网站就是劫持别人在你和用户之间插了一脚。你给用户看A，修复用户实际看到的网站是B。这种攻击不像服务器被黑那么明显，劫持很多站长甚至几个月都发现不了，修复流量却在肉眼可见地掉。

修复的第一步，先别急着删文件。你得搞清楚劫持发生在哪一层。是DNS被改了，还是页面代码被注入了，或者是CDN节点出了问题。判断方法很简单——用手机流量访问网站，如果正常，那就说明劫持只针对特定网络环境；如果手机流量下也跳转，那多半是代码层面被动了手脚。

最常见的还是代码注入。攻击者会往你的JS文件里塞一段加密字符串，或者直接在数据库里加隐藏的跳转脚本。我见过最隐蔽的一种，是把恶意代码藏在图片的EXIF信息里，用PHP的getimagesize函数去读取并执行。这种痕迹极难发现，普通的查杀工具根本扫不出来。

找到问题根源后，别急着改代码。先做三件事：第一，把所有管理后台密码全部重置，包括FTP、数据库、服务器SSH。第二，检查服务器上有没有新增的定时任务，很多攻击者会设置一个cron脚本，每五分钟自动重新注入一次恶意代码。第三，把网站源码备份一份到本地，用diff工具和官方原版对比，找出所有被修改过的文件。

清理干净之后，加固才是关键。给后台加个双因素认证，别嫌麻烦。文件权限该收紧就收紧，别什么都设成777。还有，定期检查一下网站的SSL证书是否有效——有些劫持就是通过伪造证书实现的。我的习惯是每两周看一次服务器日志，重点盯那些异常频繁的POST请求和可疑的User-Agent。

说实话，修复劫持不难，难的是防止二次被劫持。很多站长清理完就松懈了，结果没过一星期又中招。攻击者往往留了后门，你清掉的只是表象。所以清理完之后，最好把整台服务器重装一遍系统，只保留数据文件，这样最稳妥。

对了，别忘了检查一下你的CDN设置。有一次我排查了半天，最后发现是CDN的缓存规则被篡改，导致恶意页面被分发到了全国节点。这种劫持覆盖面广，危害也最大，但修复起来其实最简单——清空CDN缓存，重置API密钥就行。

最后说句实在话，网站劫持这种事，防比修重要。装个Web应用防火墙，定期更新CMS和插件版本，别用那些来路不明的免费主题。省下来的钱，远不够你处理一次劫持事故的损失。