昨晚凌晨两点，何修我朋友老张打来电话，复网声音发颤——他的站劫电商站被人改了首页，跳转到一个菠菜平台。何修百度快照里他的复网网站标题还挂着“XX数码专营店”，点进去却是站劫“澳门线上娱乐”。这种劫持，何修技术上叫DNS劫持或服务器植入，复网但别急着慌，站劫八成是何修下面三个环节出了问题。

先查域名解析。复网老张的站劫域名商是阿里云，我让他登录控制台看DNS记录，何修结果发现多了一条A记录，复网指向一个俄罗斯IP。站劫黑客早把他的域名管理密码偷了，加了解析。这种情况直接删掉陌生记录，改掉域名账号密码，开启两步验证。别用简单密码，我见过有人用“zhang123456”这种，跟没锁门一样。

如果解析没问题，那嫌疑就落在服务器本身。登录SSH，先看进程——ps aux，找找有没有陌生程序占着CPU。老张的服务器上跑着一个叫“xmr”的挖矿进程，CPU占用率飙到90%。这玩意儿是黑客植入的，顺便改了Nginx配置，把首页指向赌博站。杀掉进程，删除对应的定时任务——crontab -e里看看有没有奇怪的执行脚本。这步必须做，否则重启后它又活过来。

文件层面也要排查。网站的index.html或index.php可能被直接篡改。用grep -r "跳转代码" /var/www/html搜一下，常见的劫持代码是或者一段JavaScript跳转。老张的首页文件里被塞了一段base64编码的脚本，解码后是赌博链接。直接恢复备份，或者手动删除那段代码。但记住，光删文件没用，得找到入侵入口——检查一下FTP账号、后台管理密码是不是太弱，或者用了老旧的插件。

做完这些，老张的网站恢复了正常。但第二天又出问题——这次是微信里分享链接被拦截，提示“包含恶意内容”。我让他去查CDN，果然，他用的免费CDN节点被污染了，缓存了错误页面。清掉CDN缓存，强制刷新，再设置防盗链和HTTPS。免费的东西往往有代价，CDN节点如果被劫持，你源站再安全也白搭。

最后提醒一句，修复只是治标。你得建立监控习惯，每周看一次DNS记录和服务器日志。老张现在装了安全狗，设置了文件哈希校验，文件被改就短信报警。别觉得麻烦，被劫持一次损失的钱，够你买十年监控服务。网站劫持这事儿，跟小偷撬门一样，锁好门不够，还得装摄像头。

(责任编辑：热点)