暗链网址：看不见的链接怎么混进你站里

暗链网址最阴的地方在于，它不给你任何提示。你打开自己的站，页面干净、排版正常、图片也都在，用户根本看不出问题。但搜索引擎的蜘蛛爬过来，读到的是另一套东西——几百上千条指向博彩、医疗、盗版资源的链接，密密麻麻塞在你页面的某个角落。这些链接可能被 CSS 藏起来，字号设成 1px、颜色跟背景一模一样、position 定到屏幕外面去，或者干脆用 display:none 埋着。人来访问看不见，机器一读全是。

所以很多人第一次撞见这事，都是别人告诉他的。有人在搜索结果里看到你的域名底下挂着乱七八糟的标题，或者安全平台给你发了个提醒，或者干脆是排名掉了以后自己查源码才发现的。

暗链网址一般从哪几个缝里钻进来

我处理过的案例里，入口就那么几类，翻来覆去。

最省事的一种是有写权限的开源程序。尤其是那些年久失修的主题、插件、编辑器上传组件。攻击者不需要多高的技术，现成的利用脚本满天飞，扫到你的指纹对上了，直接就塞进去。这类暗链往往藏在主题的 header.php、footer.php 或者某个 js 文件末尾，一行 base64 或者 eval 拼起来的东西，肉眼扫一遍还不一定看得出来。

第二种是后台弱口令。admin/admin、admin/123456 这种，被批量扫到之后进去改模板，甚至不用改模板，直接在数据库的文章表里批量替换内容，几万篇文章里每一篇末尾都给你加一段。这种最难清，你以为删了模板就完事，结果数据库里还躺着一堆。

第三种是服务器层面。有些虚拟主机或者便宜空间，多个站点共享同一个环境，隔壁站被拿下，跨目录一读，你的文件也跟着被人改了。这种情况你自己代码写得再干净也没用，环境就是漏的。

还有一种比较隐蔽的，是域名层面的跳转。站本身没问题，但域名解析或者某个子目录被加了跳转规则，用户从搜索引擎点进来，先跳到别的页面再跳回来，中间的暗链网址就这么被记录下来了。

暗链网址为什么专挑老站和小站下手

说白了就是投入产出。新站没权重，挂上去没意义；大站有安全团队，成本太高。中间那一大批有点权重、又没人天天盯着的站，才是最理想的宿主。企业官网、地方门户、学校二级站、几年没更新过的博客，都在这条线上。

而且这帮人不着急。他们挂上去的链接往往是慢慢加的，一次加几十条，隔一段时间再加一批。你要是只在出事那会儿查一遍，过两个月再看，早又长出来了。

怎么查：别只盯着首页源码

很多人查暗链的办法就是浏览器里右键看源代码，Ctrl+F 搜个 http。这个动作只能说聊胜于无。原因很简单，你看到的源码是渲染前或者渲染后的其中一种，而暗链可能藏在 JS 动态插入的内容里，也可能被服务端按 User-Agent 分辨，只对蜘蛛吐出来。

比较靠谱的做法是几路一起上。一是用 curl 换个蜘蛛的 UA 去抓页面，跟你正常访问的结果对比一下，两边不一样就说明有鬼。命令很朴素，`curl -A “Mozilla/5.0 (compatible; Baiduspider/2.0; +http://www.baidu.com/search/spider.html)” https://你的域名/`，把输出存下来跟浏览器里看到的比。二是整站搜特征，模板目录、上传目录、缓存目录挨个翻，找 eval、base64_decode、iframe、display:none 这类关键词。三是进数据库，把文章表、配置表导出来，搜那批可疑的域名。

还有个小技巧，搜索引擎的搜索结果里搜 `site:你的域名` 加上一些明显不相关的词，比如某些灰色行业的关键词，如果出来一堆你压根没写过的页面，那就是有暗链网址在替你“代言”了。

清的时候容易犯的错

最常见的错是只删链接不改密码。你把模板里那段代码删干净了，密码还是那个密码，后门还在，过几天人家又进来了。清理的顺序应该是反过来的：先改所有能改的密码，后台、数据库、FTP、SSH，一个不落；再排查有没有多余的账号、计划任务、异常进程；然后才是清文件。

第二个错是全站覆盖式地删。有人直接拿备份还原，结果把出问题之后正常更新的内容一起盖掉了。还原之前先看清楚备份的时间点，是不是在被入侵之前。

第三个错是只清首页。暗链不止在首页，栏目页、详情页、标签页、甚至 sitemap 和 robots.txt 里都可能有。robots.txt 被改过的情况尤其常见，攻击者会把某些路径屏蔽掉，让蜘蛛别去抓他留下的那些东西。

防的那一手，其实在前面

等发现再清，成本永远比提前堵住高。能做的几件事，按性价比排一下。

后台路径改掉、登录加验证码或者二次验证，弱口令这个洞基本就堵住了大半。程序、主题、插件保持更新，尤其是那种半年没动过的第三方组件，能删就删，别留着当摆设。文件权限按最小化来配，上传目录禁止执行脚本，这一条能挡掉相当一部分通过上传拿 shell 的路子。

再就是监控。文件完整性校验是个好东西，模板目录、配置文件加个指纹，一天对一次，变了自己会报警。没有这个，你只能靠肉眼和运气。日志也留着，至少留个把月，出事以后往回翻访问记录，找那些奇怪的 POST 请求和访问路径，能看出点东西来。

空间选得靠不靠谱也影响很大。共享环境里隔壁站出事波及到你，这种事解释起来很麻烦。要是预算允许，独立环境加上定期的安全巡检，心里踏实得多。具体的隔离策略、备份策略，各家服务商实现不一样，以服务商或官方页面说明为准。

一个提醒

暗链网址不是一次性的麻烦，它更像是个信号——它告诉你，站上有个口子一直开着。今天清完，过阵子再看一眼源码和数据库，隔段时间查一次，比出事了连夜抢救要轻松得多。真正省事的从来不是清理手法有多熟，而是根本没让它进来过。