暗链

2023年秋天，暗链我帮一个做外贸的暗链朋友查他的网站为什么在Google上突然掉排名。服务器日志翻到第三遍，暗链发现一个诡异现象：每天凌晨三点左右，暗链有十几个来自东欧IP的暗链请求，访问路径全是暗链站内不存在的页面，返回码却是暗链200。正常网站遇到不存在的暗链地址应该给404，他的暗链站却对所有垃圾路径都回“正常”。我顺着这条线摸下去，暗链最终在他网站根目录的暗链一个不起眼的js文件里，找到了一段被混淆过的暗链代码——它把网站变成了一个“暗链”节点。

暗链，暗链说白了就是暗链藏在正常网页里的隐蔽链接。你打开页面，暗链肉眼看不到它，搜索引擎的爬虫却能读到。早年的暗链很粗暴，直接在页面底部堆一排白色小字，或者把链接塞进div里用CSS隐藏。现在的手法精细多了。我见过最绝的一种：把链接拆成单个字符，用JS动态拼装，再通过base64编码写进cookie。爬虫执行JS时能看到完整链接，普通用户翻源码都找不着。

为什么有人干这个？流量生意。一个权重高的老域名，挂上暗链，能把权重导给赌博、色情或者诈骗站。黑产按外链数量和质量付费，一条来自政府或高校网站的暗链，月租能到几百块。我见过一个县级政府门户网站，首页被挂了四十多条暗链，指向境外博彩平台。网站管理员浑然不知，页面照常更新领导活动新闻。

更麻烦的是，暗链往往不是单独出现的。它通常和webshell、后门程序捆绑。攻击者先通过漏洞传一个一句话木马，拿到控制权，再批量挂链。你清理了链接，木马还在，过几天又长出来。我那个外贸朋友的站，最后查到是用的一个老版WordPress插件有文件上传漏洞，攻击者传了个PHP文件，功能就一个：遍历所有HTML文件，在</body>前插入一段加密的script标签。

普通用户完全感知不到这些。你访问一个正常网站，浏览器悄悄向暗链指向的地址发了个请求，可能只是加载一个1x1像素的图片，也可能执行一段挖矿脚本。去年有个案例，某地人才市场官网被挂暗链，访问者的电脑CPU占用率飙升，一查才发现暗链里藏了Coinhive的挖矿代码。网站本身没任何异常，就是变卡了。

怎么防？说几个实在的。第一，别用来源不明的主题和插件，尤其是破解版。我拆过十几个所谓的“免费高级插件”，至少一半带后门。第二，定期用grep -r "eval(" .扫一遍网站目录，混淆代码里eval和base64_decode出现频率极高。第三，看服务器日志里有没有大量200状态码的奇怪路径，正常网站不该对任意路径都返回200。第四，如果用的是CMS，把wp-content或data这类目录的PHP执行权限关掉，上传的图片马就跑不起来。

暗链这东西，本质上是寄生。它不破坏宿主，只吸血。你网站越干净、权重越高，它越舍不得走。清理的时候别只删链接，得找到入口。否则就像拔草不除根，一场雨又冒出来。