恶意SEO怎么拦截？网站被黑链了怎么办？

昨天有个朋友找我，说他网站突然多了很多奇怪的链接，排名还掉了。我一查，又是恶意SEO在搞鬼。这种问题其实挺常见的，今天就跟大家聊聊怎么处理。

什么是恶意SEO

恶意SEO就是别人用不正当手段攻击你的网站。目的很简单，要么搞垮你的排名，要么利用你的网站资源。常见的手法就那几种，黑链、内容注入、垃圾外链，还有恶意跳转。黑链就是在你网站代码里偷偷加链接，链向一些垃圾站或者违规站。内容注入是往你数据库里塞垃圾页面。垃圾外链是大量低质量网站链向你，让搜索引擎觉得你在作弊。

怎么发现网站被攻击了

你得定期检查，不能等出了问题再看。有几个地方要重点看。服务器日志是第一个要看的地方，看看有没有异常的访问请求，特别是大量重复的POST请求，或者来自奇怪IP的扫描。网站文件完整性也要查，对比一下现在的文件和备份文件，看看有没有多出莫名其妙的PHP、JS或者HTML文件。谷歌搜索站长工具和百度搜索资源平台一定要用，里面会提示安全问题和人工惩罚。再一个就是看收录，突然收录了大量不是你网站的页面，那肯定有问题。最后看外链，用工具查一下，是不是突然多了很多低质量的外链。

发现恶意SEO攻击后的处理步骤

一旦发现问题，别慌，按步骤来。第一步是立即隔离，把网站暂时关掉或者设置成维护模式，防止问题扩大。如果攻击很猛，可以考虑暂时屏蔽可疑的IP段。第二步是清除恶意内容，这是个体力活。把那些垃圾页面、黑链代码都找出来删掉。数据库也得清理，把注入的垃圾数据删干净。第三步是修复漏洞，找到攻击者是怎么进来的。是不是用了有漏洞的插件，或者主题有后门，服务器权限设置是不是太松了。该升级的升级，该修补的修补。第四步是提交给搜索引擎，清理干净之后，去谷歌和百度的站长平台提交更新，申请重新审核。第五步是恢复上线，确认所有问题都解决了，再把网站正常打开。

具体的拦截和防御方法

说完了处理，重点说说怎么防。预防比治疗重要得多。

服务器和网站程序安全

服务器是基础，安全设置一定要做好。文件权限不能给太高，目录一般给755，文件给644。像wp-config.php这种核心配置文件，权限要更低。禁用没用的PHP函数，比如eval、system、exec这些。定期更新你的CMS、插件和主题，老版本漏洞多。后台登录地址最好改一下，别用默认的wp-admin。登录尝试次数要限制，比如输错5次密码就锁定IP半小时。数据库表前缀也改一下，别用默认的wp_。

监控与检测工具

人工检查太累，得用工具。网站安全监控插件可以装一个，比如Wordfence、Sucuri这些，能实时监控文件变化和恶意流量。外链监控工具也要用，比如Ahrefs、Semrush，设置好警报，有异常外链增长马上知道。再一个就是定期做安全扫描，市面上有一些在线的网站漏洞扫描服务，可以每隔一段时间扫一次。

针对黑链的防护

黑链是重灾区。防护主要从代码和权限入手。网站的目录禁止执行PHP文件，尤其上传目录。对用户提交的内容一定要过滤，特别是评论、表单这些地方，防止XSS攻击。定期检查网站页面的源代码，重点看footer和header区域有没有不明链接。还可以在.htaccess文件里加规则，直接屏蔽某些已知的垃圾外链域名。

针对垃圾外链的打击

垃圾外链来了，光靠防不行，还得主动拒绝。先在谷歌站长工具或百度站长平台里查清楚有哪些垃圾外链。然后尝试联系那些垃圾站，让他们撤掉链接，不过成功率很低。最主要的方法是使用拒绝外链工具，谷歌叫Disavow Links，百度也有类似功能。把垃圾外链的域名整理成一个txt文件，提交上去。提交的时候要谨慎，别把好的外链也给拒绝了。

几种常见攻击方式的处理对比

不同的攻击，处理重点不一样。我做了个简单的对比表，看起来更清楚。

一些实用的技术参数设置

这里给几个可以直接用的设置参数。在.htaccess文件里，可以加这几条规则来增强安全。

防止图片热链：

RewriteCond %{HTTP_REFERER} !^$

RewriteCond %{HTTP_REFERER} !^https://(www"".)?你的域名"".com [NC]

RewriteRule "".(jpg|jpeg|png|gif)$ – [NC,F,L]

限制访问后台的IP（只允许你的办公室和家庭IP）：

order deny,allow

deny from all

allow from 你的IP地址1

allow from 你的IP地址2

对于WordPress用户，在wp-config.php里可以加：

define(‘DISALLOW_FILE_EDIT’, true); 禁止在线编辑主题插件

define(‘FORCE_SSL_ADMIN’, true); 强制后台使用SSL

日常维护习惯

最后说说日常要养成的习惯。网站数据一定要定期备份，全站备份，包括文件和数据库。频率看网站更新情况，至少一周一次。密码要用强的，别用简单的数字字母组合。服务器和程序的更新提示要及时处理，别拖延。没事多看看站长工具的后台，有没有安全警告和消息。对网站的流量和收录数据有个大概印象，一旦有异常波动，马上就能察觉。

大概就是这些了。安全是个持续的过程，没有一劳永逸的方法。关键是建立起监控和处理的流程，出了问题能快速反应。