网站被植入暗链

打开网站首页，网站鼠标滑到最底部，被植一行不起眼的入暗“友情链接”里藏着一个赌博平台的入口。这个链接的网站字体颜色和背景几乎融为一体，不仔细看根本发现不了。被植这是入暗去年一家地方门户网站被黑后留下的痕迹，网站管理员老周过了整整三周才察觉——还是网站因为一位用户发邮件问“你们怎么开始推博彩了”。

暗链这东西，被植说白了就是入暗黑客在你网站里偷偷塞进去的链接。它不会弹窗，网站不会跳转，被植更不会让页面崩溃。入暗你每天照常更新内容，网站访客照常浏览，被植一切看起来风平浪静。入暗但搜索引擎的爬虫过来一抓，事情就变了。这些隐藏链接指向的往往是赌博、色情、盗版影视或者卖假证的站点。搜索引擎可不管链接是不是你亲手加的，它只认这个页面里有这么一条外链。于是你的网站权重开始被悄悄抽走，排名往下掉，流量跟着缩水。更糟的是，如果暗链指向的站点被标记为恶意，你的域名也可能被拉进黑名单，浏览器直接弹出红色警告页。

我见过一个做本地美食推荐的博客，站长是个兼职写稿的姑娘。她的站被植入暗链后，百度收录量从两万多条掉到四千。她一开始以为是内容质量问题，拼命更新，每天多写两篇稿子，折腾了两个月排名也没回来。后来找了个懂技术的朋友帮忙看源码，才发现页脚文件里多了一段被编码过的JavaScript，里面藏着二十多条暗链。那段代码写得很贼，只在特定时间段加载，比如凌晨两点到四点，正好是她睡觉的时候。搜索引擎的爬虫可不管时差，照样抓取。

黑客怎么把代码塞进去的？路子其实不复杂。最常见的是利用了网站程序的已知漏洞。很多站长用开源CMS建站，比如WordPress、织梦、帝国，这些系统一旦有安全补丁没及时打上，就等于门没锁。黑客用扫描工具批量扫全网，找到版本号对应的漏洞，直接传个webshell上去，然后想加什么加什么。还有一种更笨但依然有效的办法：暴力破解后台密码。很多站长的密码设得跟闹着玩似的，admin123、qwerty、88888888，黑客跑一遍字典就进去了。进去之后在模板文件里插一段代码，或者直接在数据库里改几条记录，几分钟搞定。

暗链的危害不止是SEO层面的。有些暗链挂的是木马下载链接，访客点进去电脑就中招。你辛辛苦苦攒的流量，最后变成了黑客的“肉鸡”来源。搜索引擎对这类行为打击力度很大，一旦确认，轻则降权，重则整站被K。恢复周期不是几天几周，而是按季度算的。老周那个门户站后来花了将近四个月才慢慢把排名养回来，期间广告收入少了六成。

怎么查？最直接的办法是看源代码。浏览器里右键查看页面源码，搜索“display:none”“visibility:hidden”“height:0”这类样式，暗链往往藏在这些隐藏元素里。再就是看搜索引擎的快照，对比快照里的链接和实际页面是否一致。如果快照里有而页面里没有，那多半是被动了手脚。还有一个笨办法但很管用：用site指令查自己网站的收录，看看有没有出现完全不相干的赌博、色情关键词。有，就说明中招了。

防的话，第一件事是把后台密码改成十六位以上的随机字符，别用生日和手机号。第二，CMS和插件保持最新版本，别嫌麻烦。第三，装个靠谱的安全插件或者WAF，能挡掉大部分自动化扫描。第四，定期备份数据库和模板文件，万一被改了还能快速还原。最后一条，如果网站流量不大，可以考虑把不用的页面和功能全关掉，减少攻击面。暗链这东西，预防成本远低于事后补救。等排名掉了再去找原因，那会儿已经晚了。