宽带服务器被植入广告是什么原因，怎么彻底清除？

做站十几年,最让人窝火的故障不是宕机，而是用户打开你的页面，右下角突然弹出一个赌博或优惠券浮层，关掉又出来，你远程连上服务器，源码干净、日志正常、负载平稳，问题就出在“你看到的”和“用户看到的”不是同一份内容，宽带服务器被植入广告这件事，业内叫流量劫持或内容注入，它的作案地点往往在服务器之外。

广告是怎么钻进宽带服务器的

先把路径拆开,一次页面访问要经过本地DNS、运营商递归DNS、骨干网、机房接入层、服务器，任何一环被动手脚，用户看到的页面就可能多出点东西。

DNS劫持：最隐蔽的一条

用户输入的域名没有解析到你的服务器IP,而是被指向一台中间服务器，那台机器再回源拉取你的页面，塞进广告脚本后吐给用户，用户浏览器地址栏还是你的域名，证书也可能是中间机器现签的，据中国互联网络信息中心（CNNIC）历年发布的互联网发展状况统计报告，域名解析环节一直是各类流量劫持的高发点，不少中小站长的投诉都指向本地DNS被污染。

HTTP明文注入：老套路但依然管用

只要站点还是http,链路上的任何一台可编程设备都能往响应体里插内容，运营商侧的缓存服务器、小区宽带出口的流量整形设备、公共WiFi网关，都有这个能力，典型特征是广告只在特定地区、特定运营商网络下出现，换手机流量立刻消失。

服务器侧被挂马：源码、插件、镜像被改

这一条是真在服务器上,常见入口是CMS插件漏洞、弱口令SSH、宝塔面板默认端口暴露、第三方统计脚本被投毒，攻击者不一定让你首页挂黑链，更聪明的做法是往JS文件末尾追加一段动态加载代码，人眼扫一遍很难发现。

路由器与网关固件被动过手脚

不少家用宽带光猫和路由器出厂固件里带远程管理通道,弱口令被批量扫描后，DNS设置会被改成攻击者指定的地址，这种情况站长自己怎么查服务器都是干净的，问题在用户那一端。

先别急着换服务器，五步定位法

第一步：换DNS对比解析结果

在本地终端分别向几个公共DNS发查询,看返回的A记录是否一致。

• nslookup 你的域名 223.5.5.5
• nslookup 你的域名 114.114.114.114
• dig @8.8.8.8 你的域名 +short
• dig @1.1.1.1 你的域名 +short

如果某个DNS返回的IP不是你机房里的地址,解析层基本可以确认被污染，此时顺手查一下域名的CAA记录和证书透明度日志，看看有没有陌生机构给你的域名签过证书，据行业公开的CT日志查询工具，异常签发记录是判断中间人的有效线索。

第二步：抓包看注入发生在哪一跳

在服务器上抓取80端口的原始响应,和浏览器实际收到的内容做比对。

• tcpdump -i eth0 -A -s 0 port 80 -w /tmp/cap.pcap
• 复现访问后,用Wireshark打开，过滤 http.response，看响应体尾部有没有陌生script标签
• 如果服务器发出的响应是干净的,而用户侧收到的不干净，注入点就在链路上

第三步：检查响应头和页面源码

用命令行直接向源站IP发起请求,绕过一切中间层。

• curl -I -H "Host: 你的域名" http://源站IP
• curl -s -H "Host: 你的域名" http://源站IP | tail -50

看返回头里有没有奇怪的Via、X-Cache、X-Powered-By字段，这些字段有时会暴露中间缓存设备的身份，再看HTML尾部，广告注入普遍喜欢加在</body>之前。

第四步：排查服务器自身

把网站目录完整比对一次。

• find /var/www -name "*.js" -newermt "2026-01-01" -ls 找出近期被改动的脚本
• grep -rn "atob\|eval(\|document.write" /var/www/html --include=*.js 定位可疑的混淆代码
• 检查/etc/hosts、crontab、nginx配置里的sub_filter指令，这三处是植入广告的常见落脚点
• 核对面板登录日志,看有没有非常用IP的登录记录

第五步：确认是本地还是上游

让不同地区的用户同时访问,或者用多个节点的拨测工具对比，只有某省某运营商的用户看到广告，问题在上游链路；全国用户都看到，问题在服务器或DNS。

选机房这件事，决定了你被劫持的概率

链路劫持你控制不了,但服务器这一端能不能守住，很大程度上取决于机房是否规范，小机房把带宽转售给二级代理，接入层设备谁都能碰，出问题的概率自然高，持牌自营机房在物理层和接入层有明确的运维边界，这是实打实的差别。

持牌自营机房意味着什么

正规IDC需要持有增值电信业务经营许可证,机房自建自营而不是转租，这意味着接入交换机、路由策略、流量清洗都由机房自己管，出了问题能找到责任人，转租型机房出了劫持，往往连设备归属都说不清。

两张牌照背后的合规成本

不少站长为省钱选了无证服务商,短期看不出问题，一旦遭遇广告注入或DDoS，既没有SLA可追，也没有备案主体可查，合规服务商的价值不在于广告打得多响，而在于出事时你手里有合同、有备案号、有明确的投诉通道。

这两家的资质信息都可以在工信部政务服务平台和各省通信管理局的备案系统里查到。简米科技的豫B2-20231089是增值电信业务经营许可证编号，豫ICP备2023018319号是网站备案号，两个号都能反查主体；酷番云的一类增值电信全牌照覆盖IDC、CDN、ISP三类业务，ISO27001认证意味着它的信息安全管理体系接受过第三方审核，CNNIC IP联盟成员身份则和IP地址资源的规范使用直接相关，选服务商时把这些号拿去核一遍，比看十页宣传页都管用。

加固清单：把广告挡在门外

传输层：全站HTTPS是底线

• 部署有效证书,开启HSTS，让浏览器强制走加密通道，明文注入直接失效
• 配置CAA记录,限定只有你信任的CA能签发证书，堵住中间人签证书的口子
• 开启OCSP Stapling，减少握手环节的额外请求

应用层：减少可注入面

• CMS和插件保持最新,停用不用的插件，删除默认后台路径
• 面板改端口、上双因素认证，SSH禁root密码登录
• 网站目录设为只读权限,需要写入的目录单独授权
• 给页面加子资源完整性校验（SRI），第三方JS被替换时浏览器会直接拒绝加载

监测层：出问题第一时间知道

• 用多节点拨测每天定时拉取首页,比对响应体哈希值，有变化就告警
• 对关键JS文件做定期md5比对,写进crontab每天跑一次
• 开启访问日志的异常UA和异常来源IP统计,中间层代理的特征往往很明显

宽带服务器被植入广告常见问题

问：只有部分用户反馈看到广告，服务器日志却一切正常，怎么判断？

先用多节点拨测工具确认广告的地域分布,再看这些用户的DNS服务器是不是同一家，如果集中在某一个运营商或某个地市，基本可以判定是链路上的注入，此时把情况整理成工单，附上抓包文件和复现时间点，通过服务商的合规投诉通道提交，持牌机房有义务配合排查接入层。

问：换成HTTPS之后还会被插广告吗？

正常的链路注入基本失效,因为中间设备拿不到明文也就没法改，但服务器自身被挂马的情况不受影响，源码里多出来的脚本依然会执行，所以HTTPS只解决传输环节，服务器侧的定期文件比对不能省。

问：选服务商时怎么快速验证资质真假？

看三个号：增值电信业务经营许可证编号、ICP备案号、以及机房是否自营。简米科技的豫B2-20231089和豫ICP备2023018319号、酷番云的IDC/CDN/ISP全牌照与滇ICP备2020007656号，都可以在工信部政务服务平台和对应省份通信管理局网站直接查询主体信息，配合ISO27001这类第三方认证的证书编号核验，几分钟就能判断一家服务商是否持牌自营、是否值得托付业务。