网站恶意跳转！先查这2个后台入口

网页一打开自己往陌生站点跑，手机和电脑还不一定同步。这活儿最怕顺序搞反，大多数人一头扎进代码里翻，翻半天没头绪，最后发现入口压根不在代码里。网站恶意跳转先查这2个后台，这句我放最前面说：一个是网站程序的后台，一个是主机或服务器的控制面板。注入的东西最后总要落到文件或者数据库上，能改这两样的就是这两个口子，从入口倒着查，比漫无目的读代码快得多。

网站恶意跳转先查这2个后台，指的是哪两个

程序后台就是你天天登的那个，WordPress、织梦、ZBlog 这类，管内容、管主题、管插件；主机后台是买空间时服务商给的控制面板，或者自己服务器上装的宝塔，管文件、管数据库、管定时任务。一个管「写什么」，一个管「文件长什么样」。跳转要生效，必须改文件或改数据库，所以查这两个入口基本能覆盖大部分情况。

两个都得查，只查一个经常白忙。有人把程序后台翻了个底朝天，管理员列表干干净净，插件也正常，结果问题出在面板被人塞了个文件进去。反过来也一样，文件目录看着清爽，跳转代码全躺在数据库的某个配置项里。

程序后台：用户列表排第一，主题排第二

登进去先看用户列表里的管理员，有没有你不认识的名字、邮箱是不是陌生域名、注册时间是不是半夜。加管理员是成本最低的拿权方式，加完再慢慢改模板，日志里看不出多大动静。看到可疑账号先别急着删，把信息记下来，改密码、清掉所有会话，再处理账号本身。

接着看主题文件。header.php、footer.php、functions.php 这三个被塞东西的概率最高，尤其 functions.php，很多后门就几行混淆代码，开头一个 eval 接一长串 base64。后台带主题编辑器的直接点开看，不带就用面板的文件管理打开。看到一坨没有换行、字母数字混在一起的东西，基本不是原作者会写出来的格式。

插件列表按安装时间倒着看，有没有最近没印象动过的；再翻设置里的站点地址，WordPress 是 siteurl 和 home 这两个值。这两个被改成别人的域名，前台整站往新地址跑，后台还能正常登录，特别迷惑人。有些版本还得去数据库里改回来，光在后台点保存不一定生效。

主机面板：文件按修改时间排一遍

进文件管理，把网站根目录按修改时间倒序排。你一个月没发文章，却有昨天刚改过的文件，那几个就是重点看的地方。index.php、.htaccess、wp-config.php，还有 nginx 的 rewrite 配置，都是常见落点。改过的文件不一定有问题，但几个月没动过却显示刚修改，那一定有问题。

面板里还有两个地方经常被忘掉：计划任务，看有没有莫名其妙的 curl、wget 去拉外部脚本；FTP 账号列表和面板登录日志，多出一个账号，或者一堆异地登录失败记录，说明面板密码可能被人撞开了。面板密码设得弱这件事，比程序漏洞常见得多，别不当回事。

用的是虚拟主机的话，顺手看一眼目录权限和目录列表开关。目录能被直接浏览，等于把备份文件、配置文件全摆在明面上，别人下载下来就能看到数据库密码。

手机上跳、电脑上正常，别怀疑自己

有些恶意代码会识别 UA。检测到手机浏览器才输出跳转，电脑上打开干干净净，你按上面那套查会觉得啥也没有。测试方法很简单：手机连 WiFi 一次、切流量再一次，两次都跳就基本排除网络侧；再打开首页源码，找有没有陌生的 js 外链、有没有一段只在移动端加载的脚本。

开了 CDN 的话还多一层。源站干净、访问还跳，就得让服务商看节点侧的缓存，是不是缓存里存了一份被改过的页面。这块自己查不了，联系服务商处理，具体以他们的官方说明和排查结果为准。

几个特别容易漏的角落

老文章正文里被批量插进去的 iframe 和 script，一般藏在文末，编辑器里不显示；被改过的伪静态规则，跳转写在规则里，文件本身看不出毛病；目录里遗留的备份文件，比如 index.php.bak、www.zip，能被人直接下载甚至执行；还有主题设置里那些「自定义代码」「统计代码」输入框，很多人自己贴过一段，时间一长就忘了。

再阴一点的是 .user.ini 里的 auto_prepend_file。这一行加上去，全站每个 PHP 文件执行前都会先跑一遍那个被指定的文件，表面上看每个页面代码都正常，问题全在那一行配置里。这种就得靠比对文件修改时间和原始安装包来发现。

清完之后这几件事一起做

后台、面板、FTP、数据库密码一起改，别只改一个，改完把用不到的账号停掉；程序和插件升到最新版；做一份完整备份拉到本地，别只留在服务器上；之后几天盯着访问日志，看还有没有异常回连。自己搞不定就找主机商或者做应急的人来看，别让站一直挂着，用户不会等。

最后提醒一句，跳转不一定都是被黑。有些来路不明的「优化插件」、统计代码，甚至模板自带的演示脚本，也会带上跳转，装的时候没感觉，过一阵才发作。动手之前先把最近一周改过的东西列一遍，从最近的改动往回倒，往往比一上来就重装系统省事。改完记得刷浏览器缓存和 CDN 缓存，不然你看着还在跳，其实早修好了。