打开一个常看的网页新闻网站，点进某条链接，被恶页面却跳到了博彩平台。意跳这不是网页个例。上个月我帮朋友检查他的被恶个人博客，发现移动端访问时，意跳十次里有三次会跳转到色情App下载页。网页他完全不知情，被恶PC端一切正常。意跳

恶意跳转最让人头疼的网页地方在于它的隐蔽性。它往往只针对特定来源——比如来自搜索引擎的被恶流量、特定型号的意跳手机、甚至某个地区的网页IP。网站管理员自己访问时看不到任何异常，被恶普通用户却频繁中招。意跳这种“选择性作恶”让排查变得极其困难。

常见的注入方式有几种。一种是直接篡改网站源码，在index.php或header.php里插入一段JavaScript，判断referer是否来自百度或谷歌，是则执行跳转。另一种更狡猾，通过入侵CDN节点或DNS解析，在传输环节做手脚。还有一种是利用网站已有的广告位或统计代码，在第三方脚本里夹带跳转逻辑。我见过一个案例，某电商网站的商品详情页被注入了不到20个字符的代码，只在凌晨1点到5点之间生效，白天完全正常。

移动端是重灾区。很多跳转脚本专门检测User-Agent，识别出是手机浏览器就触发。跳转目标通常是博彩、色情或诈骗页面，这些页面会诱导下载APK，或者要求输入手机号领取“奖品”。用户以为是自己点错了，其实从点进链接那一刻起，路径就被劫持了。

网站管理员怎么发现？看日志。如果服务器日志里出现大量来自同一IP的302跳转记录，或者referer字段异常集中，基本可以确定被注入了。另一个信号是搜索引擎快照。百度或谷歌的快照页面如果显示的内容和实际访问不一致，说明源码已经被改。我习惯用curl命令模拟不同User-Agent去请求页面，对比返回的HTML，往往能抓到跳转代码的尾巴。

清理起来不复杂，但容易反复。先备份数据库和文件，然后搜索常见注入关键词：eval、base64_decode、document.write、window.location。重点检查header、footer、functions.php这些被频繁引用的文件。如果用的是开源CMS，对比官方原版文件，差异部分就是被篡改的地方。数据库里也要查，有些注入藏在wp_options表的siteurl字段里，或者文章内容中被插入了隐藏的iframe。

根子往往在弱密码。我统计过自己处理过的十几个案例，超过一半是因为后台密码太简单，或者用了盗版主题、插件。有个做外贸的客户，网站被跳转到赌博页面三个月，原因是他三年前装的某个“免费SEO插件”留了后门。攻击者不需要多高的技术，扫到漏洞批量利用就行。

防御比补救重要。后台开启两步验证，定期更新CMS和插件，删掉不用的主题。服务器层面，关闭不必要的文件写入权限，wp-config.php设成440。如果用的是虚拟主机，检查.htaccess有没有被添加奇怪的RewriteRule。还有一点，别在网站根目录放phpinfo或者备份文件，那等于把钥匙插在门上。

用户端能做的有限。看到跳转立刻关掉，别下载任何东西。如果某个网站频繁跳转，换个搜索引擎的快照访问，或者直接用textise这类工具只读文本。浏览器装个NoScript扩展，能拦掉大部分恶意脚本，代价是很多正常功能也用不了。

这事说大不大，说小不小。一个跳转代码可能只值几十块钱，但带来的信任损失没法估量。我那个朋友的博客日访问量不到两百，被跳转两周后，搜索引擎直接降权，恢复用了将近两个月。