2023年3月，什网某省教育厅官网被植入了一条“自考包过”的页篡链接。点进去是改和色情直播平台的推广页，而网站首页看起来一切正常——直到安全人员用爬虫抓取源码，暗链才发现首页底部藏着一行几乎透明的什网白色小字，指向一个境外赌博域名。页篡这就是改和典型的暗链：你看不见它，但它每天都在为黑产输送流量。暗链

网页篡改分两种。什网一种是页篡明改，攻击者直接替换页面内容，改和把官网变成辱骂标语或政治宣言，暗链这种粗暴操作通常几分钟内就会被发现。什网另一种就是页篡暗链，更阴险——它不破坏原有页面，改和只在HTML代码里悄悄加入隐藏的div标签、把字体颜色设为与背景相同、或用CSS将链接定位到视口之外。用户肉眼看不到任何异常，但搜索引擎的爬虫能读到这些代码，于是网站权重就被“借”去给非法站点排名。

为什么有人费劲做这种事？直接说钱。赌博、色情、假药网站最缺的不是内容，是流量入口。正规渠道广告投放成本高且随时可能被封，暗链就成了性价比极高的选择。一个日访问量十万的政府网站，被植入一条暗链后，相当于免费给黑产网站做了永久性的百度SEO。更讽刺的是，很多暗链网站的域名只存活几周，但被植入的服务器可能半年都没人发现。

我见过最离谱的案例是某大学图书馆网站，被植入暗链指向一个仿冒的“论文代写”站点。攻击者甚至把暗链代码压缩成一行，混在统计代码里，管理员用浏览器打开页面时根本看不出异样。直到有学生反馈“百度搜我们学校图书馆，第一个结果竟然是代写广告”，技术团队才去翻数据库日志，发现两个月前就有人通过后台漏洞上传了恶意文件。

这类攻击的可怕之处在于它不挑目标。大网站有专门的安全团队，小网站反而更常中招——尤其那些用老版本CMS、常年不更新补丁的学校、医院、乡镇政府网站。攻击成本低到惊人：用公开的漏洞扫描工具扫一遍，找到弱口令就直接登录后台，改一个模板文件，全程不超过十分钟。而防御方呢？很多单位连基础的日志审计都没有，等被通报了才知道自己网站“裸奔”了半年。

要防暗链，光靠人工肉眼检查没用。定期做全站源码扫描是必须的，重点看新增的脚本文件、异常的外链域名、以及CSS里隐藏的元素。更实际的做法是给后台启用双因素认证，把文件修改权限收拢到最小范围。但说句实话——技术手段只是底线，真正的问题在于很多单位对网站安全的态度是“不出事就行”，等出了事才追悔莫及。

有一次我和某市信息中心的运维聊天，他说他们网站被植入暗链后，上面领导第一反应是“删掉不就完了吗”。结果删了三天，又被植入两次。最后查出来是服务器上有个测试用的FTP账号，密码是admin123，挂了三年没人管。你看，黑客从来不高明，高明的是我们永远在给漏洞留后门。