昨天下午三点十七分，网站问我打开自家网站后台，被异发现首页标题变成了“澳门线上赌场上线啦”。常篡页面跳转的改访瞬间，浏览器右下角弹出一个红色警告框——证书失效，风险连接不安全。网站问我盯着屏幕愣了几秒，被异手指悬在键盘上没动。常篡这不是改访我第一次遇到网站被篡改，但每次发生，风险那种被陌生人闯进家里乱涂乱画的网站问感觉，还是被异会让人脊背发凉。

先说说这次的常篡情况。攻击者没有改数据库，改访也没删文件，风险只是在index.html的头部插了一段十六进制混淆的JavaScript。代码不长，大约4KB，但足以让访问者被重定向到三个钓鱼域名。其中一个页面仿冒某银行登录界面，做得相当逼真——logo、表单样式、甚至CSS动效都一模一样。如果不是域名差了一个字母，普通人根本分辨不出来。

网站被篡改的直接后果，不是页面难看那么简单。访问者一旦在钓鱼页输入账号密码，损失就是真金白银。更隐蔽的风险在于，篡改代码里往往埋着挖矿脚本。我检测过同批被黑的站点，有六成在后台默默消耗访客CPU挖门罗币。你的用户每次打开页面，电脑风扇就开始狂转，电池掉得飞快，但他们根本不知道发生了什么。这种“隐形勒索”比直接弹广告更阴险。

攻击路径其实不复杂。查了服务器日志，发现对方是通过一个旧插件漏洞进来的。那个插件我三年前装过，后来换了主题就没再管，但文件一直躺在服务器目录里。漏洞利用工具扫到它的存在，像撬开一扇没上锁的后门。整个过程只用了四十七秒——从扫描到植入代码，比我泡一杯咖啡的时间还短。

被篡改之后最让人头疼的，是搜索引擎的惩罚。谷歌和百度会立刻标记你的域名“包含恶意内容”，搜索结果里挂上红色警告标签。恢复干净页面只是第一步，你还得提交申诉、等待审核、证明自己已经修复漏洞。这个过程短则三五天，长则两周。期间自然流量暴跌，老用户看到警告提示也会心里打鼓——你辛苦积累的品牌信任，就这么被几个字节的恶意代码侵蚀掉一块。

我自己处理过不下十次类似的入侵事件，总结出几个必须立刻做的动作：第一，别急着删文件，先备份被篡改的页面，里面可能藏着攻击者的指纹信息；第二，检查所有可写目录的权限，很多篡改发生在/uploads或/cache这类文件夹；第三，更换所有后台密码，包括FTP、数据库和主机面板——攻击者往往留了不止一个后门。最容易被忽略的是.htaccess文件，有人会在里面做规则跳转，表面看页面正常，但特定来源的流量会被偷偷导走。

说到底，网站安全不是装个防火墙就完事的事。你用的是开源程序，就得跟上每个安全补丁；你装过第三方插件，就得定期清理不用的旧版本。服务器日志要偶尔翻翻，看到陌生IP频繁请求某个路径就该警惕。这些活儿琐碎，但省不掉。我认识一个做电商的朋友，觉得“小网站没人看得上”，结果去年被勒索软件加密了全部商品图片，恢复数据花了八千块——够买好几年的安全服务了。

现在你打开我的网站，能看到页面底部加了一行小小的版本号。那是提醒我自己：任何疏忽都会变成入侵者的梯子。网站被篡改这件事，说到底是攻防双方不对等的游戏——攻击者只需要找到一个漏洞，而你却得堵住所有可能。唯一的办法，是把自己当成攻击者，每隔一段时间就去试着攻破自己的系统。这个过程很烦，但比起半夜收到警报短信的惊悚感，还是好多了。