IIS 服务器“黑帽 SEO 快照劫持”详解

“黑帽 SEO 快照劫持” 是一种针对 Web 服务器的搜索引擎毒化（SEO Poisoning）攻击。攻击者入侵 IIS 服务器后，通过技术手段欺骗搜索引擎，让搜索引擎收录并展示与网站实际内容完全不相关的虚假页面（通常为博彩、色情或药品广告），从而利用被攻击网站的正常权重为自己谋取非法流量收益。

一、攻击的核心思路：区别对待

这种劫持之所以隐蔽，核心在于服务器根据请求来源返回不同的内容。攻击者让 IIS 服务器变成一个“双面人”：

当请求来自搜索引擎蜘蛛（如 Baiduspider、Googlebot）时：服务器返回一个被精心篡改过的页面。这个页面包含大量非法关键词（如“百家乐”、“德州扑克”、“一夜暴富”等），页面样式通常模仿正规内容，但实际满屏黑链或虚假快照。搜索引擎的爬虫会抓取这个页面，并把它收录到索引中，因为网站本身有正常的权重，这些垃圾页面很容易获得靠前的排名。
当普通用户点击搜索结果进入网站时：服务器会立刻将其重定向到一个完全不同的网站——通常是赌场、色情直播或虚假投资平台。用户可能根本没有察觉到经过了中间站点，浏览器直接跳转到恶意目标。
当网站管理员直接访问网站（或从本地登录后台）时：服务器判断来源 IP 或 User‑Agent 为管理员，就会返回完全正常的网站页面。这样管理员日常维护时根本看不到任何异常，攻击可以长期潜伏。

二、攻击者最常用的两种技术手段

为了实现上述“见人下菜碟”的效果，黑客在 IIS 上主要采用两种手段：

1. 植入恶意 IIS 模块（现代主流手法） 这是一种极其专业且隐蔽的方式。攻击者编写一个恶意的 .dll 动态链接库文件，然后通过修改站点根目录下的 web.config 文件，或者直接修改 IIS 的全局配置，将这个 .dll 注册为一个合法的 IIS 模块。此后，服务器在处理每一个 HTTP 请求时，都会先经过这个“内鬼”模块。该模块会读取请求头中的 User-Agent 和来源 IP，再决定要返回哪个版本的内容。著名的恶意家族 BadIIS 就是利用这种方式在全球范围内感染了大量 Windows 服务器。

2. 篡改核心全局入口文件 这是一种相对古老但仍然有效的方法。攻击者会修改每次页面请求都会率先加载的脚本文件，例如 ASP.NET 环境下的 Global.asax，或者 PHP 环境下的 conn.php、common.inc.php。在这些文件的头部写入判断代码，实现同样的区分逻辑。由于这些文件本身就是网站程序的组成部分，不易引起管理员怀疑。

三、攻击的最终目的

骗取搜索引擎排名：利用被攻击网站已有的高权重（如 PR 值、百度权重），让非法内容的快照在搜索结果中排到前列。
流量变现：劫持正常用户的点击流量，导向客户指定的博彩、色情或诈骗网站，按访问次数或注册人数收取佣金。
隐蔽长期驻留：因为管理员看不到异常，往往数月甚至数年都不会清理，攻击者可以反复利用同一台服务器为不同黑帽 SEO 客户服务。

四、网站管理者如何自查与防范

自查方法：

检查 IIS 模块列表：登录服务器，打开 IIS 管理器，在站点级别或全局级别查看“模块”和“ISAPI 筛选器”。重点寻找名称可疑、未经过数字签名、或者位于非标准路径（如 C:\Windows\Temp 或 C:\Users\Public）下的 .dll 文件。
审查 web.config 文件：打开网站根目录下的 web.config，查找 <system.webServer><modules> 标签内是否有指向未知 .dll 的 <add> 项；同时检查 <rewrite> 规则中是否存在非预期的重定向逻辑。
模拟蜘蛛抓取：使用百度站长平台或必应站长工具的“抓取诊断”功能，或者自行用 curl 命令设置 User-Agent 为 Baiduspider，对比正常浏览器访问时返回的 HTML 源代码。如果两者明显不同（比如模拟蜘蛛时看到了大量博彩关键词或隐藏链接），则基本可以断定被劫持。
检查响应头与重定向：在模拟蜘蛛访问时加上 -L 参数跟随重定向，看最终是否跳转到第三方域名。

防范加固措施：

权限最小化原则：严格设置网站物理路径的 NTFS 权限，禁止 Everyone 或 IUSR 拥有写入权限；应用程序池的进程标识应使用低权限账户（如 ApplicationPoolIdentity），避免使用 LocalSystem。
及时更新补丁：为操作系统、IIS、SQL Server 以及网站所使用的建站程序（如 WordPress、ThinkPHP 等）及时安装安全更新，防止攻击者利用已知漏洞上传恶意文件。
启用文件完整性监控：对 web.config、Global.asax 等关键配置文件以及所有 .dll 模块文件启用完整性校验（例如通过 PowerShell 定期计算哈希值并报警）。
部署 Web 应用防火墙：商业或开源的 WAF（如 ModSecurity）可以检测并拦截恶意模块注册、非法的请求重定向以及 User‑Agent 欺骗行为。

五、总结

IIS 上的“黑帽 SEO 快照劫持”已经不再是简单的挂黑链，而是演变成一种模块级、低检测率的高级威胁。攻击者利用搜索引擎对网站权重的信任，将正常的流量导流到非法牟利渠道。对于站长而言，及时发现的关键在于对搜索引擎和普通访问者是否返回了不同的内容，防范的关键在于最小化权限、严格配置监控以及及时修补漏洞。如果发现服务器已经被植入恶意模块，应尽快从已知干净的备份中恢复整个网站，并重新安装 IIS 模块，同时排查所有可能的入侵入口。