网站还能打开，不代表它没有被动过

上周二晚上十点，我在杭州帮客户更新官网。页面显示正常，后台也还能登录，可几天后客户说搜索结果跳到了陌生页面。我一开始以为只是缓存，也差点直接推倒重做。后来才发现，真正麻烦不是“这一个网站坏了”，而是我们并不知道一批网站里哪些已经被悄悄篡改。

你可能也遇到过类似情况：自己搭的官网还在，但角落多出一段陌生代码；客户说手机打开时页面变了；SEO 排名突然下降。你会慌很正常，我也卡过：当时连“正常访问”和“被植入恶意内容”的区别都没弄明白。

公开线索能先做风险排序，但不是完整体检

这件事后来被公开讨论：研究人员确认约 15,579 个网站受到感染。Scott Helme 在 2020 年 10 月的公开分析中提到，问题在于团队已经知道存在感染，却不容易判断具体是哪些站点。他分享了可用于排查的公开线索，帮助网站所有者把疑似对象排出来。

拿实际场景说：2020 年 10 月，伦敦一家制作公司发现旗下多个客户站点出现可疑脚本。团队没有逐个重装系统，而是先把公开线索命中的站点列出来，再联系主机商检查。这种方法适合“缩小排查范围”，不适合给网站出具安全证明。

如果现在有人拿一张感染名单让你照着改，请先冷静。名单通常只能说明“符合某些可疑特征”，不等于你的站点一定被入侵；反过来，名单没命中，也不代表绝对安全。现在不试也没事，尤其是你只有一个简单展示页、没有任何用户数据时。

今天复刻：先花 0 元做一次低门槛排查

复刻成本：钱是 0 元；时间是 2—4 小时，前提是你已经能登录网站后台或主机面板；技术门槛是“能看懂一段网页源代码并复制网址”，不用懂编程。第一步是打开文章里的公开分析链接，找到它列出的检测入口；如果你手头是客户名单，就先拿 1 个网站测试，别一上来批量操作。

我不会建议非技术创业者直接照着陌生脚本检查自己的电脑。更稳的做法是：先把网站、主机商和代码仓库的最近修改时间列出来，再请开发者或主机商核对公开线索、备份和登录记录。我之前犯过的错，是只盯着页面能不能打开，忘了检查“谁在什么时间改过后台文件”。

按你的阶段来，不必一次做完

如果你刚起步，只有一两个展示页，我会先做两件事：开启自动备份，记下主机账号和主要管理员。公开线索检测可以放到第二步，不值得为此买复杂服务。

如果你已经有 1—2 个客户，我会做一张简单清单：站点地址、主机商、最近备份时间、开发者联系人。发现异常时，先截图保留证据，再请专业人员检查，避免直接删文件把线索也一起删掉。

如果你正在扩规模，手上站点超过 10 个，我会把排查变成固定流程：每月抽查一次网站文件，保留变更记录，并找可信的安全人员做一次规则核对。这个方法不是所有人都需要；如果你卖的是纯咨询、课程或线下服务，暂时没有网站后台，也可以先不做。