黑链代码

去年秋天，一个做外贸独立站的黑链代码朋友半夜给我发消息：“站被降权了，收录掉了一半。黑链代码”我让他把服务器权限打开，黑链代码翻了半小时日志，黑链代码在 /wp-content/themes/ 下面找到一个叫 class-wp-cache.php 的黑链代码文件。看名字以为是黑链代码缓存组件，打开一看，黑链代码全是黑链代码经过 base64 编码的跳转脚本。

这就是黑链代码黑链。不是黑链代码那种你肉眼能看见的友情链接，而是黑链代码藏在代码缝隙里的寄生虫。

这段代码的逻辑很直接：当访客从百度点进来，立刻 302 跳转到赌博站。黑链代码普通用户根本察觉不到，黑链代码但搜索引擎的蜘蛛每次爬取都会被重定向。朋友那个站，权重就这么被一点点吸干，替别人做了嫁衣。

我后来专门花了两周时间，扒了上百个被注入的站点。发现黑链产业早就不是单打独斗了。有人专门写注入工具，有人负责扫漏洞，有人批量挂马，还有人做“售后”——定期检查代码是否被清理。一条完整的流水线，上下游之间用加密聊天工具联络，结算走虚拟币。你甚至能在某些论坛看到“黑链套餐”的报价：首页链接包月 800，内页 300，权重高的站另算。

更让人头疼的是隐藏手法。早期黑链直接写在 footer.php 里，用 display:none 藏几个 <a> 标签。现在呢？有的把链接拆成三段，分别存在数据库的 wp_options 表不同字段里，运行时再拼起来。有的利用 .htaccess 做条件跳转，只在特定 IP 段或 User-Agent 下触发。还有的干脆劫持 DNS，在解析层面就把流量导走。

上个月遇到一个案例更绝。一个企业站被挂了黑链，我用 grep -r "eval(" 搜遍了所有 php 文件，什么都没找到。最后在 favicon.ico 的二进制尾部发现了附加数据——一段加密的 PHP 代码，通过 include 一个伪装成图片的路径来执行。查杀工具扫不出来，因为文件头是合法的 ico 格式。

清理黑链最麻烦的地方在于，你永远不知道还有没有残留。删了显性的跳转代码，可能还有定时任务在重新写入。清了 crontab，可能数据库里还埋着触发条件。我现在的习惯是：发现一个入口，就把整站文件按修改时间排序，把最近三个月变动过的文件全部过一遍。再对比官方源码的哈希值，不一致的逐个排查。数据库里的 wp_options 和 wp_posts 表也要翻，有些黑链直接以“草稿”形式存在，不发布但能被蜘蛛抓到。

说回开头那个朋友。我帮他把恶意代码清了，又加了文件完整性监控。他问我：“这些人图什么？”图什么？图你那点权重呗。一个日 IP 几千的站，挂上赌博链接，一个月能给他带来几十个注册用户，每个用户充值抽成，比正经做外贸来钱快多了。

代码本身没有善恶。但写代码的人有。你服务器上那些莫名其妙的 eval、base64_decode、preg_replace 带 /e 修饰符的调用，背后可能就是一整条灰产链在吸血。别等到收录掉了才想起来查。平时没事就翻翻日志，看看有没有陌生 IP 在凌晨三点 POST 一些奇怪的参数。那可能就是黑链在敲门。

(责任编辑：娱乐)