昨天半夜，网站我朋友老张打来电话，被劫声音都变了——他打开自家公司官网，持处浏览器地址栏明明输的理方是自己的域名，结果跳出来一个澳门赌场。网站更邪门的被劫是，网页标题还挂着他的持处公司名，底下全是理方荷官在线发牌。

这不是网站他第一次遇到这种事。上个月他就发现网站后台多了几个陌生账号，被劫当时没当回事，持处结果这次直接被人把整站流量劫持了。理方我远程看了一眼，网站DNS解析记录的被劫TTL值被改成了3600秒，A记录指向了一个俄罗斯IP。持处典型的三级域名劫持——攻击者先拿下他阿里云账号的权限，然后在DNS解析里加了条泛解析，把所有子域名都指向了赌博网站。

处理这种事，第一步不是骂黑客，也不是找网警报案，而是先切断损失。立刻登录你的域名注册商后台，把域名解析记录全部截图留证，然后马上修改注册商账号密码。这步必须手动操作，别用密码管理器自动填充——劫持者可能在你电脑里装了键盘记录器。改完密码后，把域名的DNS服务器从原本的第三方解析商临时切回注册商自带的解析，至少能保证网站先恢复访问。

第二步是查后门。很多人以为改完密码就完事了，其实劫持者早就在你服务器里埋了Webshell。用命令行查一下最近7天修改过的PHP文件，重点看Upload目录和模板缓存目录。我见过最阴的劫持手法，是把恶意代码藏在图片文件的EXIF信息里，然后用include函数动态调用。所以别只看文件大小，得直接grep关键字，比如eval、base64_decode、system这些函数。

第三步，清理完服务器后，去查一下你的域名邮箱。多数劫持都是从邮件开始的——攻击者通过钓鱼邮件拿到你邮箱权限，然后去域名注册商那重置密码。翻一下已删除邮件，如果发现注册商发来的密码重置通知，那就说明攻击路径确认了。这时候别犹豫，把邮箱密码、密保手机、备用邮箱全换一遍，能开两步验证就开两步验证。

处理完技术层面的，还有个容易忽略的坑——CDN缓存。如果你的网站开了CDN，而且缓存时间设了几小时，就算你修好了源站，用户访问的仍是劫持后的页面。得去CDN控制台手动刷新全部缓存，或者等TTL自然过期。实在着急的话，临时改一下源站IP，CDN重新回源就干净了。

最后说点扎心的——这类劫持多半不是黑客多厉害，而是你自己管理太松散。老张后来发现，他那个阿里云账号居然是两年前离职的员工注册的，手机号早注销了，密码还是初始的。域名、服务器、邮箱，三个平台用同一个密码，黑客拿到一个就等于拿到全部。所以处理完劫持，顺手把账号权限梳理一遍，该删的删，该换的换，不然下个月还得再打这通电话。