托管在GoDaddy的Drupal网站遭入侵问题求助

看来你遇到了GoDaddy托管站点被恶意脚本注入的典型问题，导致所有网站都跳转到陌生URL。下面是一步步的解决、排查和预防方案：

紧急止损：先搞定当前跳转问题 #

• 清理恶意脚本：找到所有被感染的文件（比如你提到的html.tpl.php、maintenance-page.tpl.php以及系统模块下的同名文件），直接删除那段加密的<script language=javascript>eval(String.fromCharCode(...))</script>代码。别漏了其他可能被感染的模板文件、主题核心文件，甚至是自定义插件文件。
• 用干净备份替换：如果你有近期未被污染的站点备份，直接替换被感染的文件会更高效，但替换前务必确认备份的安全性。
• 全链路重置密码：立刻重置GoDaddy托管账户密码、FTP/SFTP登录密码、数据库密码，还有网站后台的所有管理员密码——攻击者大概率已经获取了某个权限，必须切断他们的再次访问路径。
• 检查.htaccess文件：这类攻击经常会篡改.htaccess添加恶意跳转规则，打开文件看看有没有陌生的RewriteRule或Redirect指令，发现后立即删除。

深挖根源：找到被入侵的原因 #

• 排查CMS漏洞：如果你的站点用了CMS（比如WordPress、Drupal等），检查核心程序、插件、主题是不是都更新到了最新版本——未修复的已知漏洞是攻击者最常用的入侵入口。
• 分析访问日志：GoDaddy后台可以查看站点的访问日志，重点找异常请求：比如访问陌生的PHP文件、带奇怪参数的请求，或者来自陌生IP的高频访问记录，这些可能就是攻击者的入侵痕迹。
• 扫描可疑文件：除了已经发现的tpl.php文件，还要检查站点目录里有没有新增的陌生文件（比如shell.php、backdoor.php这类典型后门文件名），或者修改时间异常的文件（比如很久没动的文件突然被修改）。

长期防护：避免再次中招 #

• 开启自动更新：把CMS核心、插件、主题的自动更新打开，或者定期手动更新到最新版本，及时修复已知安全漏洞。
• 设置合理文件权限：给站点文件设置合适的权限，比如PHP文件设为644，文件夹设为755，降低攻击者写入恶意代码的可能性。
• 安装安全工具：如果是CMS站点，安装对应的安全插件（比如WordPress的Wordfence，Drupal的Security Kit），可以自动扫描恶意文件、阻止异常登录行为。
• 定期异地备份：定期备份网站文件和数据库，最好备份到本地或者第三方云存储，不要只存在GoDaddy服务器上，万一再出问题能快速恢复。
• 启用GoDaddy安全服务：GoDaddy提供网站安全扫描、恶意软件清除的服务，开启后可以实时监控站点安全，提前发现潜在威胁。

内容的提问来源于stack exchange，提问作者Rohit Naidu