凌晨三点，网站暗链我扒开一个政府网站的网站暗链后台源码，在footer的网站暗链角落发现一行被注释掉的代码。注释里藏着一个外链，网站暗链指向一家棋牌游戏平台。网站暗链这个网站是网站暗链某市住建局的官网，日访问量两千左右。网站暗链没人知道这行代码是网站暗链什么时候被塞进去的，但它就在那儿，网站暗链像一只趴在网页底部的网站暗链蟑螂。
这就是网站暗链暗链。它不显示在页面上，网站暗链却能被搜索引擎抓取。网站暗链做法很简单——把链接颜色改成和背景一样，网站暗链或者用display:none隐藏，网站暗链再或者塞进某个不显眼的div里。目的只有一个：借着你网站的权重，给自己的灰色站点引流。
我见过最离谱的案例，是一个大学图书馆网站被挂了四百多个暗链，全是博彩和色情站。管理员完全不知情，直到百度收录异常才被发现。检查发现，入侵者是通过一个2015年就停止维护的图书检索插件打进去的。那个插件没有更新，漏洞一直开着，像一扇没锁的后门。
暗链的产业链其实很成熟。有人专门写程序扫描全网漏洞，批量植入；有人负责卖链接，按“权重”收费；还有人做中间商，对接需求方。一个权重4的政府网站，暗链价格能卖到每月三千块。更狠的是，有些黑客植入暗链后不急着用，先养着，等搜索引擎收录了再卖给赌场——那时候价格翻倍。
普通用户根本察觉不到。你打开一个网站，页面干干净净，内容正常，速度也不慢。但搜索引擎的爬虫能看到那些隐藏代码。这就像你在客厅里坐着，看不见墙缝里的窃听器，但它确实在运作。
我去年帮一个地方新闻网站清理暗链，发现入侵者用了三层嵌套——先黑掉一个子域名，再通过子域名的权限提权到主站，最后在模板文件里插入代码。整个过程没有留下任何日志，因为对方把日志功能都关了。清理完不到两周，又被挂上了。后来查出来，漏洞出在服务器上装的一个老版本FTP组件，密码早就泄露了。
最讽刺的是，很多被植入暗链的网站，本身就有安全防护措施。防火墙、杀毒软件、入侵检测系统，一应俱全。但暗链植入往往不走这些系统的监测逻辑——它不破坏文件，不篡改内容，只是在你已有的代码里“加一行”。就像你在家里装了监控摄像头，但小偷是从你窗户爬进来的，摄像头只对着正门。
搜索引擎对暗链的惩罚一直在加重。百度前几年更新算法后，大量被挂暗链的网站排名暴跌。但黑客也在升级手法——现在流行用JS动态生成链接，爬虫能抓到，但人工审查源码时看不到。还有用iframe嵌套的，以及利用CSS伪元素生成的。道高一尺，魔高一丈，这场猫鼠游戏没有终点。
说到底，暗链的根源是网站所有者的疏忽。很多单位建完网站就不管了，插件不更新，密码不换，服务器不维护。黑客要的不是你的数据，只是你服务器的执行权限——哪怕只是一个小小的上传接口，都能成为突破口。
我有个做安全的朋友说过一句话：“暗链不是技术问题，是态度问题。”话糙理不糙。真正有效的防护不是买多贵的防火墙，而是定期检查代码，更新插件，换密码。但大多数网站连最基本的更新都做不到——这才是暗链屡禁不止的真正原因。