网站被劫持老是跳转传奇私服网站
凌晨两点，网站网站我正刷着行业论坛找资料，被劫屏幕毫无征兆地一花，持老传奇直接弹进一个满屏金光闪闪的跳转网页——「屠龙刀点击就送，极品装备一秒爆」。私服我愣了一下，网站网站以为自己点错了书签。被劫退出去，持老传奇重新输入网址，跳转回车，私服又进去了。网站网站第三次，被劫我清了缓存，持老传奇换了浏览器，跳转结果还是私服一样。我的个人网站，一个纯技术博客，被劫持去给《传奇》私服导流了。
这破事不是第一次遇到。上个月帮朋友处理他的企业站，也是这德行，用户访问首页，十次里有三次会跳转到那种带刺鼻塑料味的游戏广告页。更诡异的是，他自己在后台看数据，流量一点没少，跳出率却飙到百分之九十多——访客全被“送”走了。
劫持的原理说穿了不复杂，但手法越来越脏。最常见的是运营商HTTP劫持，你用的是普通80端口，数据包在传输过程中被塞进一段JS代码，浏览器一解析就自动跳转。还有一种，是网站本身被种了后门，FTP密码泄露或者用了有漏洞的CMS模板，攻击者改了你首页文件，或者挂了个隐蔽的iframe。最阴的是DNS劫持，你域名解析的服务器被污染，全世界访问你网站的人都得先路过那个私服页面。
我那次排查，先看源代码，没发现明显异常。再看服务器日志，发现凌晨三点有个IP反复尝试登录后台，密码爆破没成功，但留了痕迹。最后用抓包工具一测，好家伙，HTTP响应头里多了一行“Location: http://xxx.legend-mirror.com”，这就是运营商干的，跟服务器本身没关系。你换HTTPS协议，立刻就好——因为加密后，中间人没法篡改内容了。
但很多站长舍不得那点SSL证书的钱，或者觉得麻烦，就一直裸奔。我朋友那个站就是，我让他去阿里云申请个免费证书，开启强制HTTPS，半小时搞定，跳转问题当场消失。至于被植入后门那种，更麻烦，得把网站文件全部下载下来，本地查杀，换掉所有密码，甚至要重装一遍服务器环境。
说实话，私服网站劫持这事，就是一群灰色产业的人批量扫描互联网上的薄弱站点，有漏洞就钻，没漏洞就买通运营商里的小喽啰搞流量劫持。他们盯上的不是你的内容，是你那点可怜的访客流量。哪怕你网站一天只有几十个人访问，他们也不放过——蚊子腿再小也是肉，积少成多，一个私服广告一天能带来几千次曝光，总有人手贱点进去。
我认识一个做独立电商的朋友，被劫持了整整两周才发现，损失了大概十几万订单。他当时还以为是广告投放渠道出了问题，白白烧了好多钱。后来查到是服务器上装了个老旧的phpMyAdmin，被人利用漏洞上传了恶意脚本。他气得直骂娘，但骂完还得自己动手清理。
这事儿根治的办法就三条。第一，全站上HTTPS，这是最便宜也是最有效的护城河。第二，定期检查服务器日志，盯住那些可疑的POST请求和异常登录IP。第三，别用那些几年不更新的开源程序，尤其是中文老牌的CMS，漏洞多得像筛子。
至于已经中招的，别慌。先拔网线，断开服务器外网，再用干净的环境登录后台，把最近修改过的文件挨个检查。如果是被运营商劫持，直接打客服电话骂一顿，或者换一家宽带。我那次解决后，第二天就收到了那个私服网站的客服加我QQ，问我要不要合作推广——我给拉黑了。这种生意，沾上就是一身腥。