一、先区分故障表现，做好前置交叉测试
1、分清两类异常现象。一种是纯粹无法访问，浏览器提示连接超时、无法访问网站，多和服务器宕机、端口不通、解析失效有关；另一种是页面可以打开，但内容错乱、自动跳转至陌生站点，这类问题大概率是网站被篡改、挂马或访问链路遭到劫持。不同故障的排查方向差异很大，先记录浏览器报错信息，锁定故障类型。
2、多环境交叉验证缩小范围。优先使用手机流量、同一Wi-Fi下多台设备分别测试；也可以请异地用户协助访问。仅本地Wi-Fi异常，偏向DNS劫持；更换网络后访问恢复正常，服务器故障的可能性较低。同时可以直接用服务器IP访问站点，IP能够正常打开、域名访问异常，重点核查DNS解析；IP访问同样异常，再排查网站程序与文件。
二、网站被挂马：隐蔽性强，爬虫与访客看到不同内容
1、挂马的典型特征。攻击者采用定向展示策略，普通访客访问页面显示正常，搜索引擎爬虫抓取时返回涉赌、垃圾广告等违规内容，借助网站权重做黑帽引流，站长很难直接察觉。部分挂马会植入隐形脚本，引发浏览器安全拦截、搜索引擎风控告警。
2、自查方式。使用site指令检索域名收录结果，查看是否出现和站点主题无关的收录标题；查看网页源代码，查找陌生加密脚本、外部引入代码；核对网站文件修改时间，重点检查模板头部、公共文件、上传目录中新增的可疑文件，很多恶意代码会借助base64编码隐藏。也可以模拟搜索引擎UA抓取页面，对比返回内容差异。
3、处置要点。确认挂马后建议临时限制访问降低风险，使用干净备份文件覆盖可疑文件，清理恶意代码；同步核查服务器日志，定位异常访问请求，找到入侵入口。
三、网站被篡改：页面内容被替换，常和挂马伴随发生
1、篡改的典型特征。攻击者拿到权限后修改首页、模板文件，替换页面标题、正文，或是往数据库内批量插入垃圾外链、违规内容。部分篡改同样设置IP白名单，站长后台预览正常，普通访客看到违规页面。
2、自查方式。检查后台是否新增陌生管理员账号，核对近期新增、自动发布的文章；比对备份文件，查看核心程序文件的变更记录；检索数据库，排查异常插入的垃圾关键词与外链。使用CMS建站的站点，可以借助官方文件校验功能核对程序文件完整性。
3、处置要点。不建议只手动删除表面恶意代码，优先使用原版干净文件覆盖；清理完成后修改后台密码，升级程序与插件，关闭不必要的上传权限，封堵漏洞，防止攻击者依靠后门再次入侵。
四、DNS劫持：服务器本身正常，域名解析指向错误地址
1、劫持的典型特征。网站服务器运行正常，但域名被解析到攻击者控制的IP，同一Wi-Fi下多台设备访问统一域名，同步跳转至钓鱼、违规页面，切换手机流量访问就恢复正常。劫持来源分为域名账号被盗篡改解析记录、路由器DNS配置被篡改、本地DNS缓存污染。
2、自查方式。通过ping、nslookup命令查询域名解析IP，和服务器真实IP比对；使用多节点DNS检测工具，查看不同地区解析结果是否一致；登录路由器后台，核对DHCP内DNS地址是否被修改；登录域名管理后台，查看解析记录、账号登录日志。
3、处置要点。异常路由器DNS恢复为运营商默认DNS或可信公共DNS，重置路由器；域名解析异常的，重置A记录，修改域名账号密码并开启二次验证。
五、避坑提醒与日常防护
1、常见排查误区。网站异常不要直接重启服务器，恶意代码保存在磁盘中，重启无法清除，还会丢失攻击日志；不要仅凭自己设备访问正常就判定站点无问题，攻击者常识别管理员IP做差异化展示；清理恶意内容后不修补漏洞，站点极易反复被入侵。
2、长期防护建议。定期完成全站备份，及时更新网站程序、插件；服务器、网站后台、域名管理账号设置独立强密码，按需开启二次验证，降低被攻击风险。
