防篡改实时监控检测网站恶意植入黑链：网站防篡改实战

网站被植入黑链（隐藏的作弊链接）是常见的安全问题，轻则影响收录，重则被搜索引擎拉黑。
本文用最直接的方式，教你从头搭建一套防篡改实时监控，并主动检测已有黑链。

## 为什么必须防篡改
黑链通常藏在正常文件的尾部或数据库字段中，肉眼很难发现。一旦植入，攻击者能长期利用你的网站权重做SEO作弊。而防篡改监控能实时响应文件变更，在异常写入时立刻告警或自动恢复，从源头阻断植入。

## 准备工作
- 一台已安装宝塔面板的Linux服务器（CentOS 7/8 或 Ubuntu 20.04+）
- 网站已运行，拥有服务器root或sudo权限
- 宝塔面板已登录，且应用商店可用
- 建议先备份网站文件和数据库（使用宝塔插件或手动tar）

## 配置防篡改实时监控
### 1. 安装宝塔防篡改插件
- 登录宝塔面板 → 左侧“软件商店” → 搜索“防篡改”
- 找到“网站防篡改程序”（免费版即可），点击安装
- 安装成功后，在左侧菜单会出现“防篡改”入口

### 2. 添加保护目录
- 进入“防篡改” → 点击“添加保护”
- **保护目录**：填写网站根目录，例如 `/www/wwwroot/example.com`
- **排除规则**：如果使用WordPress等CMS，排除 `wp-content/uploads` 下的图片、缓存目录等正常写入区域，避免误拦截
- **动作选择**：建议选“拦截并记录”或“拦截并自动恢复”（恢复需要配置备份节点）
- 点击“确定”，状态显示为“已保护”

### 3. 设置实时告警
- 在防篡改面板中点击“告警设置”
- 绑定邮箱或钉钉/企业微信机器人（推荐Webhook），确保被篡改时立刻收到通知
- 告警级别：全部勾选，包括创建、修改、删除

## 检测网站是否已存在黑链
即使开启了防篡改，也建议主动扫描一次，清除历史遗留的恶意代码。

### 方法一：扫描文件内容（推荐）
使用SSH连接服务器，执行以下命令搜索可疑链接域名或关键词：
```bash
grep -rn 'malicious.com' /www/wwwroot/example.com --include='*.php' --include='*.html' --include='*.js'
```
替换 `malicious.com` 为你怀疑的恶意域名。若结果有异常，查看文件具体行数并确认。

### 方法二：检查数据库表
登录phpMyAdmin或使用宝塔数据库管理，手动扫描 `wp_posts`、`wp_options` 等本地表，搜索 `