网站被黑跳转IP，5个痕迹说明一切

跳转这种事，先记住一句话：凡是代码里没写过的跳转，都按入侵处理，别急着让 CDN 或者浏览器背锅。网站被黑跳转IP大多数情况是站内被塞了东西——一句话木马、被改过的 .htaccess、数据库里塞的暗链，手法不新鲜，但藏得深。下面这 5 个痕迹，能自查的尽量先自查，等搜索引擎给你标红就晚了。

网站被黑跳转IP最典型的5个痕迹

第一个最直接：打开首页，看源码。右键「查看网页源代码」，往最上面几十行翻，如果 `<script>` 里塞着一长串 base64、`eval(`、`document.write` 这类东西，或者 `header(“Location: http://…”)` 被写在 php 最前面，基本就确定了。很多木马就藏在 index.php 第一行，前后用几个空行做伪装。

第二个在配置文件里。Apache 看 `.htaccess`，Nginx 看站点 conf，`rewrite` 或者 `if ($http_user_agent ~* …)` 这种按 UA、按 referer 分流的规则，你自己没写过，那就是别人写的。这类最坏，它只对从百度、搜狗过来的访客跳，你本人访问一切正常，很容易误判成没事。

第三个是目录里冒出不认识的文件。网站根目录、`wp-content/uploads`、`images` 这些平时只该放图片的地方，突然出现 `1.php`、`aa.php`、名字像乱码的文件，创建时间还特别集中。用 `find . -name “*.php” -newermt “2026-09-01″` 按时间捞一遍，很快能看出来。

第四个，数据库。WordPress 的 `wp_options`、`wp_posts`，或者你自己建的文章表，字段里被塞 `<script src=…>` 或者隐藏 iframe，前台看不见，蜘蛛和手机端会读到。用 phpMyAdmin 搜一下 `script`、`iframe`、`eval`，能捞出不少。

第五个在站外。DNS 记录被人动过、本地 hosts 被改、或者搜索引擎快照里标题变成了彩票博彩字样。这个不一定是你服务器的问题，但只要出现，先按最坏的情况排查。

手机跳、蜘蛛跳，这种最阴

有些跳转只对移动端 UA 生效，电脑上访问干干净净，手机一打开就飞走。为什么？移动端流量值钱，做黑帽的就盯着这块。检查办法不复杂，浏览器 F12 切设备模拟，或者直接用 curl 带一个手机 UA 请求一下：`curl -A “Mozilla/5.0 (iPhone; CPU iPhone OS 17_0 like Mac OS X)” -I https://你的域名`，看返回头里有没有 302 到别处。返回 200 但 body 里有跳转脚本，一样中招。

蜘蛛跳更阴，只对 Baiduspider、Googlebot 的 UA 输出另一套内容，这是 cloak，做黑帽的老套路。你自己看是正常的，搜索引擎看到的是另一份。这种基本只能靠日志和第三方模拟抓取来发现。

日志比肉眼靠谱，先看这两处

一个站被搞了，光看代码经常看不全，木马可能藏在你不常打开的目录里。这时候翻日志：Nginx 的 access.log 里找 `POST` 到陌生 php 的请求、找带一长串参数的 GET、找同一 IP 短时间大量 404 又突然 200 的。还有 `.user.ini`，这个文件最容易被忽略，PHP 的 `auto_prepend_file` 指过去，所有请求都会先跑一遍它的代码。

另一处是文件修改时间。整站打包下回来，跟旧备份对比，或者直接 `find` 按 mtime 排序，最近被动过的非上传目录文件挨个看。做久了你会发现，被黑的站往往不是漏洞多高级，而是后台密码太弱、插件半年没更新、上传目录给了执行权限。

处理顺序错了，等于白折腾

发现网站被黑跳转IP之后别急着删文件。第一步是断：把站先关掉或者挂维护页，防止继续跳、继续往外撒。第二步是备份现场，整站加数据库打包留一份，万一后面要报案或者找服务商，这就是证据。第三步才是清。

清的时候别只删看得见的。改密码，后台、FTP、数据库、面板、SSH 全换；检查计划任务里有没有定时拉马的，检查 SSH 的 `authorized_keys` 里有没有别人的公钥，检查 crontab。这些地方留一个后门，前面全白干。清完把补丁打上，插件主题升到最新，上传目录去掉 php 执行权限。

域名那边也看一眼。解析记录有没有被人加过 A 记录、CNAME，域名账号开没开二次验证。有些跳转压根不在服务器上，在解析层就把你拐走了。各家服务商控制台位置不一样，以服务商或官方页面说明为准。

清完不等于完事，得盯一阵

收尾别太早。清完的一两周，每天扫一眼日志和首页源码，看有没有复发。搜索引擎那边，如果已经被标了「该页面可能被篡改」，去搜索资源平台提交死链和申诉，把清理后的正常页面重新提交一遍。这个过程不会立刻恢复，得给点时间。

更实际的做法是提前防：后台路径别用默认的，密码长一点，能开二次验证就开，插件只留用得上的，备份做成自动的并且存到站外。真被搞一次，你就知道这几步能省多少事。

最后给一份能照着做的清单：看首页源码有没有 eval、base64；查 `.htaccess` 和 nginx conf 里的 rewrite；用 find 按时间捞陌生 php；数据库搜 script、iframe；curl 带手机 UA 看返回头；翻 access.log 找异常 POST；改全部密码、清后门、打补丁；最后提交申诉。哪一步拿不准，先别动，把现场留住再说。