打开自己的网站却落到陌生页面，先别急着认定服务器被入侵，劫持可能发生在本地、站点、DNS 三个环节，处理方式完全不同。动手前先开一个无痕窗口访问，排除浏览器缓存的干扰，这一步最省事。
本地劫持怎么确认
换一台设备、换一个网络再访问。手机切流量能正常打开、电脑不行，问题就在本地：检查 hosts 文件有没有被加条目，Windows 下执行 type C:\Windows\System32\drivers\etc\hosts；再排查浏览器插件；路由器管理密码还是默认值的先改掉，DNS 劫持不少是从路由器进来的。公司内网整批机器都跳转的，联系网络管理员查出口设备，和个人本地劫持是两回事。
站内挂马怎么确认
任何网络任何设备访问都跳转，就要登录服务器查页面文件：
grep -rn '<iframe\|<script' /www/wwwroot --include='*.html' | head
发现注入代码，对比版本库或最近备份找出被改动的文件；数据库也要查，跳转代码常被写进文章正文或配置表，把内容字段里的 script 关键字筛一遍。静态文件干净还跳转的，查 Web 服务的配置文件里有没有被加跳转规则。修补入侵入口（多半是程序漏洞或弱密码），全量替换文件并修改相关密码，改完关注日志里对可疑页面的请求是否消失，确认清理干净。确认被挂马后，除了清理还要修补漏洞，否则隔天又被注入。
DNS 解析被污染怎么确认
在不同 DNS 下对比解析结果：
dig @223.5.5.5 example.com +short
dig @8.8.8.8 example.com +short
两处结果不一致，或解析指向陌生 IP，说明解析环节出了问题。解析记录里出现陌生的 A 记录，而域名管理日志里有异地登录，基本是账号被盗改了解析：检查解析记录、修改账号密码并开启二次验证，必要时更换 DNS 服务商。域名的注册商和解析商不是同一家时，两边账号都要检查，攻击者常从弱口令的那一侧下手。
先换网络再动服务器
排查顺序上，先做换网络测试，能少走一半弯路；确认是服务器侧的问题再动服务器，别一上来就重装系统。