网站挂马检测：被删除页面的数据应怎样保留在历史对比中
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /15d7e9007651.html
📄
网站挂马检测：被删除页面的数据应怎样保留在历史对比中
被删除页面不能继续作为可抓取对象参与对比，但它的历史记录应当以“冻结快照”的形式保留：在删除动作发生前，把该页面的检测结论、证据来源和观测时间固定下来，之后只允许追加复核记录，不允许覆盖原始数据。这样，多个角色对“这个页面当时是否被挂马”的分歧，才能转成可以逐项核对的项目，而不是各自凭记忆争论。
先分清“删除”删掉的是什么
删除一个页面，通常同时影响三样东西：页面本身不再返回内容、站内链接和导航不再指向它、检测工具后续抓取时得到的是错误状态或跳转。真正需要进入历史对比的，是删除之前那一次或多次检测留下的记录，而不是删除之后反复抓取得到的空结果。
如果删除后还持续把该地址纳入常规检测清单，会出现一种误导：工具报告“无法访问”或“状态异常”，看起来像新增问题，实际上只是页面已不存在。把这类结果混入历史对比，会让原本关于“是否挂马”的分歧变成关于“为什么访问失败”的分歧。
假设情境：三个人对同一页面给出三种说法
假设某站点有一个活动页，运维在例行检查时发现页面底部被插入了一段陌生脚本，安全负责人判断是挂马，内容负责人则说这个页面当天已经被删除，不可能还有问题。三方各执一词，谁也说服不了谁。
把分歧转成可核对项目的做法是：先确认删除动作发生的时间点，再调出该时间点之前的检测记录。如果记录显示删除前页面确实含有那段脚本，且脚本来源不在站点自有资源清单内，那么“是否挂马”就有了共同的事实基础；如果删除前的记录是干净的，那么运维看到的现象更可能来自缓存、镜像或其他同源页面，需要换一个排查方向。这里的关键不是谁嗓门大，而是把“删除前”和“删除后”两段证据分开存放。
保留历史对比需要固定哪几类字段
要让后来的复核者能独立判断，冻结快照至少应包含以下内容：
- 观测时间：精确到能区分删除前与删除后的程度，并注明时区。
- 页面标识：原始地址、规范化后的地址，以及删除后是否发生跳转。
- 检测结论：当时判定为正常、可疑还是确认异常，以及判定依据。
- 证据原文：命中的脚本片段、外链域名、响应头或页面结构差异，保留原始文本而非转述。
- 数据来源：这条记录来自站内日志、第三方检测报告还是人工查看，三者口径不同，必须标注。
- 复核追加区：后续任何人补充的说明都追加在这里，并写明追加时间和追加人，不修改上面的原始字段。
其中“数据来源”最容易被忽略。第三方估算、检测工具报告和站内统计对同一页面的描述可能并不一致，把不同来源的记录混在一张表里直接比较，会制造出并不存在的矛盾。正确做法是按来源分层保存，对比时先说明用的是哪一层。
一个实际动作：先冻结，再决定是否继续检测
发现页面被删除后，第一个动作应当是把删除前最后一次有效检测记录导出并加上时间戳，形成不可覆盖的快照。这个动作的结果会直接影响下一步：
- 如果快照显示删除前存在异常脚本，下一步是追溯脚本的注入路径和影响范围，而不是继续检测这个已经消失的地址。
- 如果快照显示删除前一切正常，下一步是核对删除后出现的异常报告来自哪里，重点检查缓存、镜像站或结构相似的兄弟页面。
- 如果删除前根本没有留下有效记录，那么当前无法还原事实，只能把这次分歧标记为“证据不足”，并从此类页面开始建立删除前的固定留档流程。
这一步的价值在于，它把一个无法继续观测的对象，转成了可以反复核对的静态证据。后续无论谁来复核，看到的都是同一份原始记录，分歧只能围绕解释展开，而不会围绕“当时到底是什么状态”空转。
哪些现象不能单独作为结论
页面被删除后，检测清单里该地址的请求量归零、抓取量下降或某项统计消失，这些现象本身不能证明页面从未被挂马，也不能证明处理已经正确。它们至少还有几种合理解释：地址已失效导致工具跳过、清单被人工移除、检测频率调整，或者工具把该地址归入了其他状态分类。
因此，历史对比的结论应当建立在证据链上：观测时间、数据来源、原始证据片段、判定依据四者能相互对应，才足以支撑“删除前是否异常”的判断。缺少其中任何一项时，更稳妥的表述是“现有记录不足以判定”，并把它列为待补充项，而不是用单一指标的变动去反推搜索算法或安全状态。
