游客发表
网站被挂暗链这事儿，网站我见过最离谱的暗链一次，是排查某个做企业官网的客户，首页底部被塞了一行白色小字，网站字号比正文小两号，暗链颜色跟背景色一模一样。排查肉眼根本看不见，网站但搜索引擎的暗链爬虫看得见。结果那家做建材的排查公司，莫名其妙开始给一个境外赌博站贡献权重，网站关键词排名从首页掉到第八页。暗链客户找到我的排查时候，已经过了两个月，网站流量损失惨重。暗链
暗链的排查本质，就是利用搜索引擎对链接的重视，把别人的网站变成自己的外链仓库。攻击者通常不会直接改你的页面内容，那样太显眼。他们更爱用CSS把链接定位到页面角落，或者用display:none隐藏起来，再或者塞进iframe里，反正用户看不到，只有蜘蛛能看到。你检查源代码的时候，如果只看正文，根本发现不了。
排查暗链没有捷径，得从三个层面下手。第一层是数据库，很多内容管理系统把链接存在文章表里，直接搜数据库里的标签，看有没有可疑域名。第二层是模板文件，查footer、header这些公共区域，看有没有被插入代码。第三层是服务器日志，找那些频繁被请求但页面里根本不存在的路径，那往往是暗链指向的跳转地址。
我自己的习惯是，先跑一遍全站页面抓取，把每个页面的HTML源码里所有外链提取出来，跟白名单比对。白名单里只有自己的子域名、合作方的官方域名、备案过的CDN域名。剩下的，一律标红。这个方法虽然笨，但胜在彻底。有一次我就是这么查出来，某个老站点的
除了技术手段，还得留心一些反常现象。比如网站后台突然变慢，或者页面加载时多了几个不必要的请求。有一次我打开客户网站，F12看网络请求，发现多了一个对某陌生域名的请求，但页面源码里根本没有这个资源。顺着查，发现是某个插件被注入了恶意代码，每次页面加载都会偷偷请求那个域名，而那个域名上，挂着几十个赌博站的外链。
暗链的排查频率，我建议至少一个月一次。别等排名掉了再查，那时候损失已经造成了。搜索引擎对暗链的惩罚是连坐制，不光删掉链接，还会降低整站权重。有个做电商的朋友，因为没及时清理，被百度降权了三个月，流量跌了七成，后来花了半年才缓过来。
清理的时候要小心，别直接把代码删了完事。先备份，再确认哪些是攻击者加的，哪些是自己人误加的。有些暗链藏在压缩混淆过的JS文件里，你光删HTML里的标签没用，得把整个文件替换掉。还有的藏在图片的alt属性或者注释里，反正能塞的地方，攻击者都想得到。
最后说个实在话，暗链这东西，防不胜防。你代码写得再干净，架不住第三方插件有漏洞，或者服务器密码被撞库。所以除了定期排查，还得把后台权限收一收，能不开的端口别开，能上二次验证的别偷懒。安全这东西，永远是在跟攻击者赛跑，你跑得勤一点，被挂的概率就小一点。