网站被挂马了输入域名自动跳转怎么办

输入自己的域名，浏览器却直接跳到一个充斥着博彩广告或色情弹窗的陌生页面，这种状况在站长圈里有个统一的称呼：挂马跳转。它不像整站被篡改那么明显，却比单纯注入病毒更让人恼火，因为用户第一次访问就被导走，搜索引擎也会立刻降权。

这种问题的根源，九成以上出在网站自己的程序文件里。数据安全机构Sucuri在2023年的报告中显示，被黑网站中约74%是因为使用了存在已知漏洞的开源CMS组件且长期未更新。攻击者不会费劲去破服务器密码，他们往往通过一个过时的插件、一个弱口令后台，甚至是一段遗留的测试代码，把一个几十字节的恶意脚本塞进你的项目里。这个脚本会在页面加载时执行一段JavaScript，把location.href改成恶意地址，或者是通过服务端重定向返回302头，让浏览器自己跳走。

先别急着删除服务器上的文件。你需要确认一件事：跳转到底发生在哪一层。用命令行输入nslookup yourdomain.com，看看解析出来的IP是否和你的服务器IP一致。如果不一致，那说明域名DNS被劫持了，这是另一个层面的问题，需要去域名注册商处改回解析。如果IP正确，那问题就确定在网站自身。

接下来要做的第一件事是从网络中断开这台服务器的对外访问。不是让你关服务器，而是把Web服务暂时停掉，或者将站点根目录下的index文件改名，替换成一个静态提示页。这么做是为了阻断恶意代码对访客的持续传播，避免搜索引擎给你标记为“危险站点”。同时，保持服务器运行，不要立即重启，因为进程和临时文件里可能还留有攻击者的痕迹，你需要先取证。

然后开始排查程序文件。不要用肉眼去一个个看源代码，效率太低。在Linux服务器上，可以登录SSH，进入网站根目录，执行grep -r "eval(base64_decode" --include="*.php" . 这样的命令，grep还会检查隐藏文件。常见的恶意跳转代码都会使用base64编码的字符串来隐藏真实内容，执行后动态写入跳转逻辑。另一个高发位置是根目录下的.htaccess文件，攻击者会往里面塞一段RewriteRule，把特定路径的访问重写到黑产域名。用cat .htaccess查看，正常配置里不应该出现除了你写的规则以外的第三方域名。

如果你的网站是PHP语言写的，还要重点检查wp-includes、vendor、uploads这类目录。很多挂马脚本会伪装成图片或日志文件，文件名带有random字符串，后缀是.php。查找最近30天内被修改过的文件，find -mtime -30 -type f -name "*.php"，然后逐个排查非业务文件。数据库也得看，虽然跳转很少由数据库直接触发，但如果你的前台模板里被写入了恶意文本，数据表内容同样会成为跳转源头。执行SQL语句，搜索类似“script src”和“怎么注册博彩”这类关键词，重点是wp_options表和系统配置表。

找到恶意文件后，不要只删掉那一个就完事。攻击者通常会在多个位置埋下后门，比如在一个合法的主题文件尾部追加几行混淆代码，或者在/tmp目录放一个定时任务脚本，下次访问时重新生成恶意文件。删完之后，把项目的所有可写目录权限收紧，PHP文件设为755或644，上传目录去掉执行权限。如果你的服务器是Nginx，检查conf里有没有被include进奇怪的配置文件。

密码重置这一步不能省。把网站后台管理员、FTP账号、数据库账号的密码全部换掉，使用15位以上的随机字符串，并开启双因素认证。如果你是用宝塔面板或类似的Web面板，面板的登录密码也要改。别忘了检查服务器上是否存在除你之外的新用户，用awk -F: ''$3==0{print $1}'' /etc/passwd看UID为0的账号。

修复完成后，做一次全量扫描。用在线安全检测工具，比如Quttera或VirusTotal的URL扫描，输入你的域名查看是否有恶意标记。同时清理浏览器缓存，换一个没上过你网站的干净浏览器，输入域名访问。如果跳转消失，页面正常显示，再继续观察24小时。期间建议开启Web日志访问记录，重点监控异常请求，比如频繁访问某个陌生PHP文件、POST请求到非登录接口等。

最后说一个现实情况：挂马不是一次性的噩梦，只要你的网站使用的某个第三方组件依然存在漏洞，攻击者就会在下次扫描时再次进来。所以修复后的一个月内，盯紧后台登录日志和404日志。一旦发现可疑IP段频繁试探，就添加防火墙规则封禁。网站安全没有一劳永逸，但至少可以做到被黑后一小时之内恢复，而不是看着用户流失干着急。