打开收藏夹里存了五年的传奇处理传奇私服发布站，跳出来的网站却是一个博彩页面。这不是劫持浏览器出了问题，是传奇处理网站被劫持了。去年帮一个开服的网站朋友处理过这事，他的劫持站从百度搜"传奇发布"能排到前三，某天突然所有访客都被重定向到境外赌博站，传奇处理服务器流量暴涨三倍，网站收入归零。劫持

劫持分几种。传奇处理最常见的网站是DNS劫持，域名解析被改，劫持用户输入网址后直接被带到别处。传奇处理另一种是网站本地劫持，服务器上被塞了恶意代码，劫持比如在index.php里插一段判断，只对搜索引擎蜘蛛和特定地区IP做跳转，站长自己访问一切正常。还有一种是运营商层面的流量劫持，这个最难搞，通常出现在中小城市的宽带节点上。

先查DNS。登录域名注册商后台，看解析记录有没有被改。我朋友那次就是nameserver被换成了陌生地址，攻击者通过钓鱼邮件拿到了他的注册商账号。改回正确解析后，还要开启域名锁定和双重验证。顺手检查一下域名邮箱，很多站长用同一个密码注册了各种服务，一个泄露全盘皆输。

服务器层面得翻日志。看access.log里有没有异常POST请求，特别是那些访问admin路径或者上传接口的。朋友服务器上找到一段被插入的base64代码，藏在/wp-includes/目录下一个伪装成图片的文件里。攻击者通过老版本phpMyAdmin的漏洞进来的，那个版本2018年就停止维护了，他图省事一直没升级。清掉恶意文件只是第一步，还得把phpMyAdmin目录整个删掉，改用SSH隧道连数据库。

如果服务器上跑了多个站，要逐个检查。有时候一个不起眼的测试站被拿下，攻击者通过它横向移动到主站。朋友的服务器上有个他两年前做活动留下的demo站，早就不用了但一直没删，那就是入口。把所有不用的站和目录清干净，权限设置成755和644，别图方便给777。

运营商劫持比较麻烦。表现是用户访问你的站，页面底部或者弹窗里多了广告，代码里却没有。这种只能投诉，打运营商客服电话，要求关闭HTTP劫持。态度要硬，说清楚这是违法行为，通常几个工作日内会处理。同时把网站全站上HTTPS，能挡掉大部分低级劫持。Let's Encrypt证书免费，自动续期脚本十分钟配好。

处理完之后做了几件事。装了文件完整性监控，任何文件被改动立刻发邮件。服务器上跑了ClamAV定期扫描。百度站长平台提交了死链和改版规则，把被劫持期间产生的垃圾收录清掉。朋友那个站花了大概两周恢复排名，流量慢慢回来了。

说个细节。攻击者在他服务器上留了后门，一个伪装成cron任务的脚本，每十分钟检查一次恶意代码是否还在，被删了就重新写入。所以清理的时候不能只删表面文件，得查crontab -l，查/etc/cron.d/，查systemd的timer。这个后门是朋友自己发现的，他注意到恶意文件总在凌晨三点 reappear，顺着时间点找到了定时任务。

传奇类网站被盯上不奇怪。流量大，站长多数是个人或者小团队，安全意识参差不齐，服务器上跑着各种来路不明的插件和模板。一个发布站被劫持，下面几百个服主跟着遭殃。我的建议是，别在服务器上装任何非必要的软件，模板和插件只从官方渠道拿，密码用密码管理器生成，别用"admin123"这种。被劫持了也别慌，按DNS、服务器文件、数据库、定时任务这个顺序排查，通常两三个小时能定位到问题。