黑页代码
凌晨两点十七分，黑页代码浏览器突然跳出一串十六进制代码。黑页代码我盯着屏幕看了三秒，黑页代码意识到这不是黑页代码报错——页面正在被某种东西覆写。白色背景像被墨水浸透，黑页代码黑色从边缘往中心蔓延，黑页代码每一帧都伴随着细微的黑页代码字符抖动。那是黑页代码我第一次亲眼见到“黑页代码”的实时注入过程。
大多数人以为黑页就是黑页代码黑客把网站首页换成一张全黑图片，加两行挑衅文字。黑页代码太幼稚了。黑页代码真正的黑页代码黑页代码是一套完整的页面替换逻辑，它不删你文件，黑页代码不改你数据库，黑页代码只是黑页代码在HTTP响应返回浏览器之前，把HTML流整个截断，塞进它自己的渲染指令。服务器日志干净得像刚擦过的玻璃，管理员查半天找不着入口。
我跟踪过一个案例。某地方论坛被挂黑页，持续了四十三分钟。管理员重启三次服务器，每次重启后页面正常不到十秒就又黑了。他以为是Webshell，翻遍上传目录没结果。后来发现攻击者根本没碰服务器——流量在CDN节点就被劫持了。攻击者买通了某个边缘节点的运维权限，在反向代理层做了个规则：当请求头里User-Agent包含“Baiduspider”时，返回正常页面给搜索引擎；其余所有请求，返回黑页。这招阴损。搜索引擎收录的还是正常内容，真实用户看到的全是黑页。管理员用自己电脑访问，因为浏览器UA被识别为普通用户，永远看到黑页；用curl加百度UA测试，正常。他花了二十分钟才反应过来要换UA。
黑页代码本身没什么技术含量。一个完整的黑页HTML通常不超过4KB，去掉样式和图片，核心就是一个<style>把body背景设为#000，加一段<pre>放组织名称或口号。有些会嵌JavaScript做字符雨动画，那算讲究的。我见过最简陋的黑页就一行字：“Hacked by Nobody”。连个联系方式都没留。这种通常是脚本小子拿自动化工具扫出来的，批量挂，挂完自己都不记得挂过哪些站。
但代码简单不代表危害小。黑页挂上去，搜索引擎快照更新后，用户搜品牌词看到“Hacked by XXX”，信任直接崩盘。去年有个做在线教育的客户，黑页只挂了十一分钟，第二天百度快照就更新了，那个黑页标题在搜索结果里挂了整整六天。他们投了竞价广告都没用，用户点进官网前先看到“该网站可能被入侵”的提示。十一分钟，六天代价。
黑页代码的检测其实有迹可循。正常HTML的<head>里<title>和<meta>有固定顺序，黑页往往粗暴地整个替换，导致标签顺序错乱。比如正常页面是<meta charset>在前，<title>在后，黑页可能反过来。写个爬虫定时抓首页，对比<title>长度和<body>前200字节的哈希值，变化超过阈值就告警。这法子土，但管用。我见过一个运维团队用这招，在攻击者挂黑页后九十秒内就发现了，因为他们的监控脚本每三十秒跑一次。
最让我觉得荒诞的是黑页的“文化”。有些组织挂黑页会署名，署名的会互相攀比谁挂的站权重高。有个叫“暗河”的团伙，专挑政府站下手，挂完黑页在底部加一行小字：“本页由暗河安全团队友情提供，如需修复请联系XXX。”明码标价做起了生意。被挂的站方还真有人联系他们付钱恢复。这算什么？黑产里的售后服务？
写黑页代码的人大概没想到，他们留下的那几行HTML，会成为别人安全日志里最刺眼的一页。我电脑里存着三百多个黑页样本，最小的1.2KB，最大的带完整粒子动画有87KB。每次打开看，背景全是黑的，字全是红的或绿的。像某种赛博墓碑。碑上刻着同一句话：你的服务器今晚归我。