怎么发现网站被劫持

先看几个地方回的地址

怎么发现网站被劫持。我不先看页面。 先问解析。看回的是不是一个批次的地址。 一样。先别慌。不一样。再往下看。

我一开始只看页面有没有变

我一开始只盯着页面。看标题改没改。看有没有多广告。 盯了两天。什么都没发现。 试了半天才想起来。该看解析这一步。 这里我记一下。页面没变不代表没事。

四个地方各问一次

本地一次。换一家 dns 再一次。 外地机器一次。手机流量再一次。 四个答案摆一起。有分歧才是线索。 都一样。先清一次缓存再问。

看回的是哪个段

220.181.111.1 是北京电信 IDC。183.2.172.177 是广州电信。 110.242.69.21 是保定联通。这几个段都眼熟。 那么段眼熟先记下。陌生段先留着。 同段不同城。也算一条。

用宝塔拨测的网站测速。多地区跑一轮。看各地回的 ip 是不是同一批。

这次的数据

25 个节点跑一轮。另一轮 24 个。 江苏宿迁电信 7097ms。第二轮 7093ms。 河南三门峡联通 218ms。重庆电信 231ms。 那么 ip 都对得上。这两轮没看到被换。 宿迁那两台七秒。是慢。不是劫持。

页面上的三个信号

证书 issuer 换过。算一条。 打开跳走。算一条。 首屏多了没见过的脚本。也算一条。 然后对一遍解析。对上了才算证据。

什么时候算发现

一台机器看到。先不算。 换网络还在。才有点意思。 两台都对上同一个怪现象。才敢说发现了。 那么一次不算。两次同向才算。

一个域名。四个地方问。三个一样。一个不一样。那个不一样的。才是入口。