📍 WDQWDWQD987AAAAA:216.73.217.6
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /9990184e1886.html
📄

网站恶意代码检测开始分析前怎样明确问题

开始网站恶意代码检测前，先把“哪里异常、谁受影响、从何时开始、已排除什么”写成一句话问题描述，再据此确定检查范围和证据清单。多人协作时，这句话就是交付基线，避免每个人按自己的理解查不同方向。

先写清问题描述，避免范围漂移

问题描述至少包含四项：现象、受影响对象、时间范围、已知排除项。例如“部分商品页在移动端跳转到陌生页面，桌面端正常，昨天下午开始，已确认不是CDN缓存”。这句话能直接决定后续查页面、查模板还是查数据库。

如果只能写出“网站好像有问题”，说明问题尚未明确，应先收集现象，不要急着扫描全站。

可执行清单：每项查什么、怎么查、结果说明什么

1. 查现象入口。记录首次发现异常的页面地址、访问设备、登录状态和来源渠道。同一地址在未登录、登录、移动端三种条件下各访问一次。结果说明问题是全局注入还是条件触发。
2. 查时间起点。对比异常出现前后的页面快照、备份文件或版本记录。结果说明是某次发布引入，还是长期存在后被触发。
3. 查影响范围。抽样同类页面，如首页、列表页、详情页、后台页各取若干。结果说明是单页、单模板还是全站公共文件受影响。
4. 查可疑输出位置。查看页面源代码中异常脚本、隐藏链接或跳转代码出现的位置，是在模板、数据库内容还是外部资源引用中。结果说明注入点的大致层级。
5. 查文件与权限变更。核对近期被修改的文件、上传目录中的可执行文件、管理员账号和密钥变更。结果说明是否存在未授权写入或账号滥用。
6. 查第三方依赖。检查统计代码、广告位、客服组件等外部引用是否被替换或新增。结果说明问题来自自有代码还是外部资源。
7. 查日志与告警。查看访问日志、错误日志和WAF记录中与异常页面相关的请求。结果说明是否有批量请求、异常参数或已知攻击特征。

用证据链判断，而不是单点下结论

一个异常现象可能有多个解释。页面跳转可能来自模板被改、数据库内容被注入、浏览器扩展干扰，也可能来自外部脚本被替换。只有把“现象—时间—范围—文件—日志”串成证据链，才能区分可能原因与已经定位的原因。

多人协作时，建议每项检查都记录：检查人、检查时间、检查对象、原始证据、结论。结论分三档：已确认、疑似、已排除。这样交接时不需要重新复述背景。

明确交付物，减少返工

分析开始前就约定最后交付什么：问题描述、影响范围、已确认的注入点、证据文件、待修复清单、验证方法。若只交付“已清理”三个字，后续无法验证是否复发。

验证时用同一组检查项复测：原异常页面是否恢复、源代码是否还有可疑输出、文件是否再次被改、日志是否还有同类请求。全部通过才算闭环。

下一步：把上面的清单复制成协作表格，先填“问题描述”和“影响范围”两列，再开始逐项检查。