网站被劫持怎么处理

打开浏览器，网站输入自家域名，被劫跳出来的持处却是一个博彩页面。去年我帮一个做外贸的网站朋友处理过这种事，他的被劫站被劫持了整整三天，Google流量掉了六成，持处客户邮件全在问“你们是网站不是跑路了”。劫持这事儿，被劫不挑你服务器多贵、持处CDN多牛，网站DNS、被劫路由器、持处甚至你电脑里的网站浏览器插件，任何一个环节被撬开，被劫用户看到的持处就是另一张脸。

先搞清楚你遇到的是哪一种。域名解析被改，是最常见也最恶心的一种。攻击者拿到你的域名注册商账号，把A记录指向他的IP，用户访问时压根碰不到你的服务器。还有一种叫DNS缓存投毒，本地运营商或公共DNS的缓存里被塞了假记录，你这边解析正常，但部分地区用户就是被带到别处。再有就是服务器端被挂马，首页被插入一段JS，判断来路是搜索引擎就跳转，直接访问反而正常——这种最阴，站长自己测半天测不出来。

发现异常后第一件事，别急着改代码。先找一台不在你常用网络环境里的机器，或者用手机4G开热点，去访问你的域名。如果手机正常、公司电脑不正常，大概率是本地DNS或路由器问题。反过来，手机也不正常，那就是域名或服务器层面的事。这一步能帮你省掉大量瞎折腾的时间。

确认是域名解析问题，立刻登录域名注册商后台。看DNS服务器地址有没有被改，看A记录、CNAME记录有没有陌生IP。我朋友那次就是Namecheap账号密码被撞库，攻击者改完记录还顺手开了个API密钥。所以改回记录之后，必须做三件事：换注册商密码、开两步验证、检查API密钥和子账号权限。少做一步，过两天又被改回去。

如果解析正常但页面内容不对，去服务器上查。先看首页文件最后修改时间，有没有被追加<script>标签。再查.htaccess或nginx配置里有没有可疑的rewrite规则。WordPress站点重点看functions.php和插件目录，很多后门藏在wp-content/uploads里伪装成图片。有个笨办法但有效：用grep -r "eval("和grep -r "base64_decode"扫一遍网站根目录，能揪出大部分马。

处理完这些，别以为就结束了。搜索引擎那边要提交死链或安全申诉，Google Search Console里有个“安全问题”板块，提交复审请求，通常几天内会解除红色警告。用户端的影响更麻烦，很多人浏览器里还留着劫持期间的缓存，得靠你更新HTTPS证书、刷新CDN缓存、甚至换个新域名做301跳转来慢慢洗。

说个容易被忽略的点：路由器。家用或公司路由器被刷了固件，DNS设置被改成攻击者的，下面所有设备访问你的站都会跳。这种劫持跟你服务器安全没半毛钱关系，但用户会一口咬定是你网站的问题。检查方法很简单，登录路由器看DHCP里的DNS地址是不是变成了陌生IP，是的话直接恢复出厂设置、升级固件、改默认密码。

最后给个实在建议。域名注册商和服务器别用同一家的账号密码，两步验证全打开，DNS用Cloudflare这类支持DNSSEC的服务。平时挂个监控，比如UptimeRobot或者自己写个脚本，每五分钟抓一次首页，发现标题或状态码变了就告警。劫持这种事，拼的就是谁先发现。你比攻击者快一步，损失就少一大截。