昨天半夜，网站朋友老张打来电话，让劫声音都变了：“我网站打不开了，持办一打开就跳到一个博彩页面，网站是让劫不是废了？”我让他别慌，先查域名解析。持办结果一查，网站DNS记录被改得乱七八糟，让劫A记录指向了一个海外IP。持办这不是网站黑客入侵服务器，是让劫域名被劫持了——更准确说，是持办域名注册商那边的账户被人动了手脚。

劫持这事儿，网站分好几种。让劫最常见的持办是DNS劫持，就像你家门牌号被人偷偷换掉，快递员把包裹全送到隔壁老王那儿去了。用户访问你的域名，解析出来的却是别人的服务器IP。还有一种更狠，直接攻破你的域名注册商账户，把整个域名转移走，那才是真正的“连锅端”。老张遇到的是第一种，还算好处理。

遇到这种情况，第一步不是骂人，是抢时间。立刻登录你的域名注册商后台，看域名状态。如果显示“clientTransferProhibited”之类的锁定状态，说明还没被转移走，赶紧改密码，开启两步验证。我让老张先做这件事，他手抖着改了密码，又绑定了手机验证码。这时候再看DNS记录，果然被加了三条奇怪的A记录，指向一个俄罗斯IP。删掉，恢复成原来的记录。

但光改密码不够。劫持者往往是通过你注册域名的邮箱下手——那个邮箱可能早就被攻破了，只是你不知道。我让老张去查那个邮箱的登录记录，果然，三天前有个来自印尼的IP登录过。他那个邮箱密码用了五年没换过，还是“zhang123456”这种级别。你说这能怪谁？

处理完域名，还得检查网站本身。有些劫持是发生在服务器层面的，比如你的网站代码被注入了跳转脚本。老张的服务器是宝塔面板，我让他去看了下计划任务，发现多了个每小时执行一次的cron任务，内容是curl一个恶意网址。删掉，再把网站目录里最近修改过的PHP文件全部检查一遍。最后在宝塔的防火墙里把那个恶意IP段封了。

整套操作下来花了大概四十分钟。老张问我：“那用户数据有没有泄露？”这问题问到点子上了。劫持期间，访问者会被引导到钓鱼页面，如果他们输入了账号密码，那数据就全被捞走了。我让他检查服务器日志，看劫持发生的时间段——好在只有六个小时，而且他的网站没有用户注册功能，风险不大。

事后复盘，老张犯的错很典型：域名注册邮箱用的是QQ邮箱，密码简单，还没开登录保护。域名注册商选的是个小众平台，连个电话客服都没有。我建议他把域名转移到阿里云或者Cloudflare这类大平台，至少安全措施完善，出了问题能快速响应。

最后说句实在话——网站被劫持，八成是人的问题，不是技术问题。密码管理、邮箱保护、平台选择，这些“无聊”的细节才是真正的防线。别等到半夜网站打不开了，才想起来密码该换了。