打开自己的网站网站网站，浏览器地址栏里显示的被劫却是另一个域名，或者页面加载到一半突然跳转到博彩、持跳色情页面——这事我遇到过三次，何解两次是网站网站帮朋友看企业站，一次是被劫自己的博客。最离谱的持跳那回，首页正常，何解点进任何一篇文章都会在 0.5 秒后跳到一个境外赌博站，网站网站手机端尤其明显。被劫服务商客服第一句话是持跳“你服务器中木马了”，第二句话是何解“建议重装系统”。重装当然能解决，网站网站但网站数据、被劫环境配置全得重来，持跳代价太大。后来我花了两个晚上把跳转链路一层层扒开，发现根因根本不在服务器系统，而在一个被篡改的 JavaScript 文件里。

劫持跳转分两种：一种是域名层面的，DNS 被污染或域名解析记录被改；另一种是代码层面的，网站文件里被注入了跳转脚本。前者的典型症状是“所有人访问都跳，包括直接输 IP 也跳”，后者则狡猾得多——PC 端可能正常，手机端跳；或者搜索引擎来的流量跳，直接访问不跳。我那次属于后者，注入的代码藏在 wp-content/themes/ 下一个主题的 functions.php 里，用 base64 编码混淆过，肉眼扫根本看不出来。

先查 DNS。登录域名注册商后台，看解析记录有没有被改成陌生 IP。如果记录正常，用 nslookup 或 dig 命令从不同网络环境查一下实际解析结果。有一次我帮人排查，发现域名 NS 记录被悄悄改到了境外 DNS 服务商，而注册商后台显示的却是“解析正常”——因为攻击者只改了 NS，没动 A 记录，后台面板读取的是旧缓存。这种情况直接改回 NS 并开启域名锁定，两步就能堵住。

DNS 没问题的话，问题就在网站文件里。最笨也最有效的办法：用 grep 递归搜索所有文件，找 eval(、base64_decode、document.write、window.location 这些关键词。我那次搜出 7 个可疑文件，其中 3 个是正常插件自带的，4 个是注入的。注入代码往往藏在文件末尾或开头，用 <?php ... ?> 包裹，或者伪装成一行“版权信息”。删掉之后，手机端跳转立刻消失。

数据库也别放过。wp_options 表里的 siteurl 和 home 字段被改，会导致所有页面重定向到恶意域名。还有 wp_posts 表，攻击者可能在某篇文章内容里塞了 <script> 标签。用 phpMyAdmin 搜一下 http 开头的可疑链接，比翻文件快得多。

服务器层面，检查 .htaccess 和 Nginx 配置文件。有次我发现 .htaccess 里多了一条 RewriteRule，把所有移动端 UA 的请求 302 到另一个站。这条规则写得极其隐蔽，混在一堆正常规则中间，不逐行看根本注意不到。

清理完只是第一步。攻击者怎么进来的？大概率是插件或主题有已知漏洞，或者后台密码太弱。我后来养成的习惯：后台登录加二次验证，插件只从官方源更新，服务器上装个 fail2ban 盯 SSH 爆破。另外，定期用 diff 对比网站文件和官方版本，能提前发现被篡改的苗头。

如果自己搞不定，别硬撑。找专业的安全团队做一次应急响应，几百到一千块，比数据全丢强。但记住：让他们清理完给你一份报告，写清楚入口点和清理了哪些文件。下次再中招，你至少知道从哪查起。