做网站卖链接别乱来，源码下载后如何防黑挂马

你的网站是不是突然蹦出一堆乱七八糟的广告链接？后台密码改了也没用，浏览器地址栏一刷新就跳转到赌博或色情页面。这种网站被黑挂马不知道怎么办的情况，我去年刚接手过一个客户，吓得他半夜三点给我打电话。很多站长为了省事，直接去网上搞一套源码下载下来就上线，结果代码里埋着后门，被黑客一控制，网站就变成了“肉鸡”。

做网站卖链接，听起来像是个能赚快钱的灰色地带，但这里面的水深得能淹死人。很多人以为只要把源码部署好，买几个域名，挂上外链就能收钱，殊不知这是在给黑客送人头。今天不聊那些虚头巴脑的理论，直接讲实战。我是怎么帮客户把被黑的网站救回来的，又是如何通过正规流程搭建一个安全的、具备基础外链分发能力的站点。注意，这里说的“卖链接”是指合规的友情链接交换或资源位展示，绝非非法赌博导流，那种是违法的，碰都不能碰。

概念速懂：为什么你的站点成了黑客的靶子

很多初学者搞不懂，明明代码是自己写的，或者是从 GitHub 开源仓库下载的成熟项目，为什么还会被挂马？

核心原因只有一个：供应链投毒与权限滥用。

所谓的“源码下载”，很多时候你下载的不是干净的代码，而是被篡改过的版本。黑客会在代码中植入 Webshell，这种脚本能绕过你的登录验证，直接获得服务器控制权。一旦服务器被控，黑客可以随意修改 HTML 文件，注入 JS 代码，甚至直接修改 DNS 解析，让你的域名指向他们的服务器。

还有一个常见误区，就是服务器权限过大。很多新手用 root 权限运行 Web 服务，或者数据库密码弱如 123456。对于后端初学者来说，理解最小权限原则至关重要。你的网站运行用户只需要读取代码文件和写入日志文件的权限，绝对不应该有修改系统配置或执行任意脚本的能力。

我见过太多案例，站长为了图方便，把 FTP 账号密码贴在代码注释里，或者用默认的 admin/admin 登录后台。这些行为在安全审计眼里，简直就是敞开大门请黑客进来吃饭。

注册与购买：避开那些坑人的低价陷阱

搭建一个安全的站点，地基必须打牢。这里的“地基”指的是域名、服务器和证书。

域名选择与注册

不要贪便宜去买那些不知名注册商的便宜域名。一定要选择主流注册商，比如阿里云、腾讯云或国外的 Namecheap。注册时开启域名锁定功能，防止域名被恶意转移。

很多人忽略了一点：域名解析记录。在 DNS 设置中，只保留必要的 A 记录和 CNAME 记录，删除多余的 MX 记录或 TXT 记录，减少攻击面。

服务器选型

对于个人站长或小型项目，云服务器（如 AWS Lightsail、阿里云 ECS）是性价比最高的选择。

  • 系统镜像：务必选择干净的官方镜像。千万不要下载那些“一键搭建 WordPress”的第三方镜像，那些镜像里 90% 都带着后门。
  • 配置建议：2核4G 内存起步。如果做静态资源多的站点，内存可以降一点，但 CPU 不能太弱，否则一旦被 DDoS 攻击，网站直接宕机。
  • 网络带宽：选择按量付费，设置带宽上限，防止流量费爆炸。

SSL 证书

现在浏览器对 HTTPS 的要求越来越严。没有 SSL 证书的网站，不仅 SEO 排名受影响，用户打开时还会看到“不安全”的警告。

推荐使用 Let's Encrypt 的免费证书。它是自动化的，通过 ACME 协议颁发，有效期 90 天。虽然要频繁续期，但安全性比某些免费 CA 签发的证书要高，因为它的信任链更短，更新更频繁。

配置与部署步骤：从零搭建安全防线

这一部分是核心，跟着我做，保证你的站点基础安全。我们以 Ubuntu 22.04 为例，部署一个 Nginx + PHP + MySQL 的环境。

1. 系统加固

登录服务器后，第一件事不是装软件，而是更新系统。

sudo apt update && sudo apt upgrade -y

创建一个新的普通用户，禁用 root 直接 SSH 登录。

sudo adduser webmaster
sudo usermod -aG sudo webmaster
sudo nano /etc/ssh/sshd_config

在配置文件中找到 PermitRootLogin，将其改为 no，保存后重启 SSH 服务。

2. 安装 Web 环境

不要直接去下载源码包。从 GitHub 开源仓库获取官方或经过审计的代码。例如，如果你要用 WordPress，去 WordPress.org 官方下载，或者从 GitHub 上的 WordPress/wordpress-develop 仓库获取。

安装 Nginx 和 PHP-FPM：

sudo apt install nginx -y
sudo apt install php-fpm php-mysql php-mbstring -y

3. 数据库配置

安装 MySQL 8.0，并设置强密码。

sudo apt install mysql-server -y
sudo mysql_secure_installation

按照提示设置强密码，禁用 root 远程登录，删除测试数据库。

创建专用数据库和用户：

CREATE DATABASE mysite_db CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;
CREATE USER 'mysite_user'@'localhost' IDENTIFIED BY 'StrongPassword!123';
GRANT ALL PRIVILEGES ON mysite_db.* TO 'mysite_user'@'localhost';
FLUSH PRIVILEGES;

4. 部署代码

将你的项目代码上传到 /var/www/html/mysite。确保文件权限正确，Web 用户（通常是 www-data）只读，目录可写（针对上传目录）。

sudo chown -R www-data:www-data /var/www/html/mysite
sudo chmod -R 755 /var/www/html/mysite

5. Nginx 配置

创建 Nginx 站点配置文件：

server {listen 80;server_name yourdomain.com;root /var/www/html/mysite;index index.php index.html;# 防止目录遍历autoindex off;location / {try_files $uri $uri/ /index.php?$query_string;}location ~ \.php$ {include snippets/fastcgi-php.conf;fastcgi_pass unix:/var/run/php/php8.1-fpm.sock;}# 禁止访问隐藏文件location ~ /\. {deny all;}
}

重载 Nginx：

sudo nginx -t && sudo systemctl reload nginx

6. 配置 SSL 证书

使用 Certbot 自动配置 HTTPS：

sudo apt install certbot python3-certbot-nginx -y
sudo certbot --nginx -d yourdomain.com

Certbot 会自动修改 Nginx 配置并配置自动续期。

常见问题：被黑后如何自救与预防

即使做了上述加固，网站仍可能面临威胁。以下是几个高频问题及解决方案。

问题一：发现页面出现不明 JS 代码

现象：打开网站，右键查看源代码，发现底部有一行 document.write(...) 或 <script src="http://evil.com/js.js">。

排查步骤：

  1. 检查文件修改时间：在服务器上执行 find /var/www/html/mysite -name "*.php" -mtime -1，找出最近一天修改过的 PHP 文件。
  2. 对比源码：将服务器上的文件与本地 GitHub 仓库中的原始文件进行 diff 对比。
  3. 清理 Webshell：如果发现陌生的 eval() 或 base64_decode() 代码，立即删除。
  4. 修改所有密码：包括数据库密码、FTP 密码、服务器 root 密码、CMS 后台密码。

问题二：网站无法访问，返回 502 错误

原因：通常是 PHP-FPM 进程崩溃或内存溢出。

解决：

sudo systemctl status php8.1-fpm
sudo tail -n 50 /var/log/php8.1-fpm.log

查看日志，如果是内存不足，调整 PHP-FPM 的 pm.max_children 参数，或增加服务器内存。

问题三：证书变更与注销流程

有些站长为了“安全”，频繁更换 SSL 证书，或者误操作导致证书失效。

证书变更：

如果是 Let's Encrypt 证书，不需要手动更换。Certbot 会在到期前 30 天自动续期。你只需要确保系统的 cron 任务正常即可。

sudo crontab -l

确认是否有 certbot renew 任务。

证书注销：

如果你决定不再使用该域名，或者更换了 CA 机构，需要注销旧证书。对于 Let's Encrypt，可以通过 ACME 协议发送 revoke 请求。但通常我们不建议主动注销，让其自然过期即可，因为新证书申请时会覆盖旧配置。

如果是企业级 CA 签发的证书，登录 CA 提供商的管理后台，找到“证书管理”，选择“吊销证书”。注意，吊销后的证书将立即失效，所有使用该证书的网站都会显示安全警告，因此操作前务必确保证书已经不再使用。

优化建议：让站点既安全又高效

搭建好只是第一步，长期运营需要持续的优化。

1. 定期备份

没有备份的网站，等于裸奔。

使用 rsync 或 cron 任务每天凌晨备份数据库和代码。

0 2 * * * mysqldump -u root -p'password' mysite_db > /backup/db_$(date +\%Y\%m\%d).sql
0 3 * * * rsync -avz /var/www/html/mysite /backup/site_$(date +\%Y\%m\%d)/

将备份文件上传到异地存储，如阿里云 OSS 或 AWS S3。

2. 安全组配置

在云服务商控制台，配置安全组规则。

  • 端口 22 (SSH)：只允许你的 IP 访问。
  • 端口 80/443 (HTTP/HTTPS)：允许 0.0.0.0/0 访问。
  • 端口 3306 (MySQL)：禁止公网访问，只允许内网 IP 访问。

这是防止暴力破解和数据库扫描的最有效手段。

3. 前端性能优化

  • 图片压缩：使用 WebP 格式，体积比 JPEG 小 30%-50%。
  • CSS/JS 合并与压缩：减少 HTTP 请求次数。
  • 启用 Gzip/Brotli 压缩：在 Nginx 中开启，传输速度提升 70%。

4. 监控与告警

安装 Uptime Kuma 或使用云服务商的监控服务。

  • 设置 CPU 使用率超过 80% 时发送短信通知。
  • 设置网站响应时间超过 3 秒时发送邮件告警。
  • 设置 SSL 证书剩余有效期少于 7 天时时发送提醒。

5. 代码审计

如果代码是自己写的，定期进行静态代码分析。使用 PHPStan 或 SonarQube 工具，检查潜在的 SQL 注入、XSS 漏洞。

对于从 GitHub 开源仓库下载的代码，关注其 Star 数、Fork 数以及最近一次提交时间。如果一个项目半年没更新，且存在已知漏洞未修复，建议寻找替代品。

结尾互动

网站安全是一场持久战，没有一劳永逸的解决方案。你今天加固了服务器，黑客明天就可能发现新的漏洞。保持警惕，定期更新，才是长久之道。

做网站卖链接，本质上是流量变现，但前提是流量得是干净的、安全的。如果你的站点充满了漏洞，引来的不是客户，而是黑客和垃圾流量，那这个生意就白做了。

你的网站用的什么技术栈？评论区聊聊，看看有多少人和我一样，是被坑过之后才学会自己写部署脚本的。