站点黑链批量清理搭配WAF长期防护方案
网站被植入黑链（隐藏链接用于提升第三方网站权重）是中小站长最头疼的问题之一。
黑链不仅影响用户体验，还会被搜索引擎降权。
本文提供一套从批量清理到配置WAF（Web应用防火墙）长效防护的完整方案，零基础也能按步骤操作。
## 一、黑链清理前的必要准备
开始清理前，请确保你具备以下条件：
1. **服务器SSH登录权限**（命令行操作，如使用宝塔面板可直接在终端执行）。
2. **一份完整的网站文件备份**——切勿跳过此步，备份出错可快速恢复。
3. **数据库备份**（可通过phpMyAdmin导出或宝塔面板一键备份）。
4. **确定黑链特征**：黑链通常隐藏在PHP、HTML、JS文件中，表现为`display:none`、``或加密eval代码。建议先复制一条可疑链接备用。
> 提醒：如果网站使用了CDN，请关闭CDN或者从源站直接操作，否则可能查不到真实挂马文件。
## 二、如何批量查找和替换站点黑链
以下操作通过SSH登录服务器执行，假设网站根目录为`/www/wwwroot/yourdomain.com`，请替换为你的实际路径。
### 步骤1：找出包含黑链的文件
使用`grep`命令搜索含已知链接的文本：
```bash
cd /www/wwwroot/yourdomain.com
grep -r "example-blacklink.com" --include=*.php --include=*.html --include=*.js . > blacklist.txt
```
- `-r`递归搜索子目录；
- `--include`指定文件类型；
- `> blacklist.txt`将结果保存到文件，方便逐条处理。
### 步骤2：使用sed批量替换/删除
如果确认所有匹配项都是恶意链接，可以用`sed`直接替换为空或注释：
```bash
find . -type f \( -name "*.php" -o -name "*.html" -o -name "*.js" \) -exec sed -i 's|http://example-blacklink.com||g' {} +
```
- `-i`直接修改原文件（建议先备份再执行）；
- `s|旧链接||g`表示把旧链接替换为空。
**注意**：如果黑链是动态加密的，建议用专门的查杀工具（如WordPress的Wordfence、D盾）扫描后手动清理。
### 步骤3：检查并修复文件权限
清理完成后，修改可疑文件的权限，防止再次写入：
```bash
chmod 644 /www/wwwroot/yourdomain.com/wp-content/themes/*.php
```
建议统一将目录设置为755，文件设置为644。
## 三、配置WAF实现长期拦截（以宝塔面板为例）
WAF（Web应用防火墙）可以在黑链被写入之前拦截恶意请求，或标记可疑特征。
宝塔面板内置了免费WAF功能，配置方式如下：
1. 登录宝塔面板 → 网站 → 选择目标站点 → 防火墙（或安全）。
2. 开启“**防火墙状态**”（Nginx防火墙或Apache防火墙）。
3. 在**URL过滤**或**POST过滤**中添加规则：
- 规则类型：`包含`
- 匹配内容：`example-blacklink.com`（替换为你查到的黑链域名）
- 动作：`拦截` 或 `记录并拦截`
4. 开启“**恶意请求拦截**”和“**SQL注入拦截**”默认开关。
5. 在**全局设置**中开启“**源站IP白名单**”，只允许真实访问来源，防止攻击者直接跳过CDN写入文件。
如果没有宝塔面板，也可以使用免费WAF如安全狗、云锁，或配置Nginx `if` 规则过滤（但新手建议用面板图形化配置）。
## 四、清理后的验证与检查
1. **访问首页并查看源代码**：按F12打开开发者工具，查看页面中是否还有隐藏的``标签或iframe。
2. **检查数据库中是否残留黑链**：登录phpMyAdmin → 选中网站数据库 → 搜索不良链接（使用SQL `SELECT * FROM wp_posts WHERE post_content LIKE '%blacklink%'`）。
3. **查看WAF日志**：在宝塔防火墙日志中确认是否有对该黑链域名的拦截记录，正常应显示“已拦截”。
4. **重新扫描文件**：再次运行`grep -r`命令，确保无遗漏。
如果发现新挂的马，请立即修改服务器SSH密码、FTP密码、数据库密码，并检查是否有后门文件（如不常用的.php文件）。
## 五、常见问题与避坑说明
- **问：清理后黑链又出现了，怎么办？**
答：说明网站存在文件上传漏洞或弱口令未解决。建议立即升级CMS版本，删除不用的插件/模板，并开启WAF的文件上传拦截。
- **问：sed替换后网站打不开？**
答：可能误删了正常内容。使用备份文件恢复该文件，然后手动修改。务必在测试站先练习。
- **问：WAF会不会误杀正常访问？**
答：将规则设置为“记录”而非“拦截”，观察一段时间后确认无误再改成拦截。
- **问：只清理不配置WAF可以吗？**
答：短期内有效，但攻击者可能再次利用漏洞注入。建议清理+WAF双管齐下。
按照以上步骤执行，你的站点基本能摆脱黑链困扰。
后续建议定期扫描文件并关注CMS安全公告，配合WAF就能实现长期稳定防护。
