内容摘要：打开浏览器，输入自己的域名，结果跳出来一个博彩页面。这种事我遇到过三次，两次是帮朋友看，一次是自己中招。第一次碰上的时候，脑子嗡了一下，以为域名被偷了。其实域名还在，只是解析被人改了。 网站被劫持，最

打开浏览器，网站输入自己的被劫域名，结果跳出来一个博彩页面。持办这种事我遇到过三次，网站两次是被劫帮朋友看，一次是持办自己中招。第一次碰上的网站时候，脑子嗡了一下，被劫以为域名被偷了。持办其实域名还在，网站只是被劫解析被人改了。

网站被劫持，持办最常见的网站就是DNS劫持。攻击者拿到你域名管理后台的被劫账号密码，把A记录指向他自己的持办服务器。用户访问你的域名，看到的就是他布置的内容。博彩、色情、诈骗页面居多。也有做得更隐蔽的——页面看起来跟你的站一模一样，只是支付环节被替换了。用户付钱，钱进的是别人的口袋。

怎么发现自己被劫持？有时候是用户告诉你的。更多时候，你自己访问一切正常，因为攻击者做了IP分流——只劫持特定地区的访问，或者只劫持非管理员IP。我那次中招，是收到一条短信，说我的站被挂马了。我打开一看，正常。换手机4G网络再打开，跳转了。所以，排查的时候别只用办公室WiFi，换网络、换设备、用在线工具查多地解析结果，才能看到真实情况。

确认被劫持后，第一件事改密码。域名注册商后台、DNS服务商后台、服务器SSH、CMS管理员账号，全部改掉。别只改一个，攻击者能改DNS，说明他很可能已经拿到了你其他地方的凭证。我见过一个案例，站长只改了域名密码，没改服务器密码，三天后又被劫持了。攻击者留了后门。

接着查DNS记录。把A记录、CNAME、MX、TXT全看一遍。有些攻击者会加一条不起眼的CNAME，把某个子域名指向自己的服务器。主站看起来没问题，但子域名被用来做钓鱼。这种最容易被忽略。

如果网站用的是WordPress这类CMS，检查插件和主题。很多劫持是从一个过期的插件漏洞进来的。攻击者上传一个shell，然后从服务器层面改hosts文件或者nginx配置，把特定User-Agent的请求转发到别处。这种情况下，改DNS没用，得清理服务器。

服务器层面怎么查？看nginx或apache的配置文件，有没有莫名其妙的rewrite规则。看crontab有没有定时任务在拉取远程脚本。看网站根目录有没有最近修改过的奇怪文件。我习惯用find /var/www -mtime -7 -type f，列出最近七天改过的文件，一个个看。

还有一个容易漏的地方：本地电脑。有时候不是网站被劫持，是你自己的电脑中了病毒，hosts文件被改了。打开C:\Windows\System32\drivers\etc\hosts看看，有没有把域名指向奇怪的IP。手机也一样，连了不安全的WiFi，DNS被改，访问什么网站都跳广告。

清理完之后，做几件事防止再犯。域名后台开二次验证。DNS服务商选支持DNSSEC的。服务器上装个文件完整性监控，比如AIDE或者OSSEC。CMS保持更新，别用破解版插件。这些听着麻烦，但比被劫持一次省事得多。

最后说个现实：完全防住很难。攻击者手法一直在变。我现在的做法是，把域名解析放在Cloudflare，开启代理，隐藏源站IP。同时用监控服务每五分钟检查一次首页内容，一旦发现标题或关键词变了，立刻发警报。被劫持不可怕，可怕的是过了三天才知道。