我上周刚帮一个做电商的何防朋友处理完网站劫持问题。他的止网站被网站被植入了恶意跳转代码，用户访问时会被偷偷带到赌博网站，劫持一个月损失了差不多三成订单。何防更麻烦的止网站被是，搜索引擎把他的劫持网站标记为危险站点，自然流量几乎清零。何防这种事儿比服务器宕机可怕多了——宕机至少你知道发生了什么，止网站被劫持往往在你察觉之前就已经把用户和信任都耗光了。劫持

网站被劫持的何防手段五花八门，但绝大多数都逃不过几个老路子。止网站被最蠢也最常见的劫持，是何防弱密码直接被人爆破了后台。有个做外贸的止网站被客户，后台密码是劫持"admin123"，被撞库撞了半年都没换，直到某天发现产品页面全被改成了俄语广告。所以第一步，把后台登录地址改掉，别用默认的/wp-admin或者/admin，密码至少十六位混合字符，再开个双重验证。这三点做到了，能挡住八成脚本小子。

第二种劫持手法更隐蔽，攻击者不碰你的后台，而是搞你的域名解析。他们把DNS记录指向自己的服务器，用户访问你的域名时看到的完全是另一个网站。我见过一个小型新闻站被这么搞过，攻击者把A记录改到境外IP，整整两天整个网站都是假新闻。防这个的办法很直接——去你的域名注册商那里打开"域名锁"，再开启"转移保护"，同时把DNS托管到Cloudflare这类专业服务商，他们自带防劫持机制。每季度登进去看一眼DNS记录，确保没多出莫名其妙的A记录或者CNAME。

代码层面的注入漏洞是第三大入口。很多老网站用的CMS插件常年不更新，SQL注入和XSS脚本就像开着门等贼进来。我认识一个独立开发者，他的个人博客被植入挖矿脚本，CPU占用率飙到90%他才发现。排查的时候发现是某个两年前装的评论插件有个已知漏洞。修复方案听起来像废话但真管用：删掉不用的插件和主题，剩下的全部保持最新版。另外，给服务器装个Web应用防火墙，比如ModSecurity，能自动拦截大量恶意请求。

还有一个很多人忽略的细节——HTTPS证书。别小看这个绿色小锁，它不只是加密传输，更是防止中间人劫持的第一道防线。如果你的网站还在用HTTP，用户连接时数据就是明文传输的，运营商、公共WiFi的路由器都能随时插入恶意内容。申请免费证书（Let's Encrypt）配置一下，最多半小时搞定，却能堵住一个巨大的劫持漏洞。

最后说个偏门的但真实发生过的情况。有个做在线教育的朋友，网站本身没被黑，但被黑客盯上了他的第三方统计代码。攻击者入侵了统计服务商的系统，在JS脚本里加了跳转逻辑，导致所有嵌入该统计代码的网站全部中招。这种供应链攻击防不胜防，唯一的应对是定期审查你页面上加载的外部脚本，尽量精简第三方依赖，每个外链脚本都得知道它是谁提供的、干什么用的。

网站被劫持这事，七分靠预防，三分靠监控。预防手段就上面那些，不复杂但需要耐心。监控方面，至少每周扫一次网站文件完整性，用Tripwire或者简单的md5比对都行。我自己的习惯是每天打开网站源码随便翻几个文件看看，成本几乎为零，但真出问题能早发现好几天。别等用户投诉了才去查，那时候你的信誉已经被啃掉一大块了。