📍 WDQWDWQD987AAAAA:216.73.216.198
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /73616aac8b37.html
📄

网站被挂马检测工具，被删除页面的数据应怎样保留在历史对比中

结论先给：如果被删除页面的数据只留在工具当次扫描结果里，它迟早会从历史对比中消失；要让对比成立，应在删除确认前把该页的URL、状态、关键页面特征和扫描时间导出为独立快照，之后每次扫描都与快照对照，而不是与上一次扫描结果对照。这个做法在页面确实已被删除、且你仍需要判断删除是否彻底时成立；若删除动作尚未执行，或删除后站点又发生了整体改版，快照与现网的差异会混入改版噪声，结论就会失效。

为什么工具内的历史对比会漏掉被删页面

挂马检测工具通常围绕“当前可访问的页面”组织结果。一个页面被删除后，它不再出现在抓取清单里，工具也就没有理由继续保留它的记录。于是你看到的“本次无异常”，可能只是因为没有扫到那个URL，而不是那个URL真的干净。

更麻烦的是，多数工具的历史对比是拿两次扫描结果做差集。被删页面在第一次扫描中存在、第二次扫描中消失，差集只会告诉你“少了一个页面”，不会告诉你这个页面删除前是否还带着可疑脚本、删除后是否仍有残留入口。要保留可对比的数据，必须把“页面存在时的状态”单独固化下来。

需要固化的不是页面快照，而是可核对的证据字段

保存整页HTML会带来两个问题：体积大，且页面一旦改版就无法逐项对比。更实用的做法是保存一组可核对的字段，让每次复扫都能回答“这个位置现在是什么状态”。

• URL与首次发现时间：用于确认删除的是同一个地址，而不是换了路径的同名页面。
• 删除前的HTTP状态与最终状态：区分“返回404”“返回410”“跳转到首页”“仍返回200但内容为空”这几种不同情况。
• 可疑特征的位置与片段：例如某段外链脚本出现在页头还是页脚、是否被条件注释包裹。保留片段而非整页，便于后续比对。
• 该页的入口来源：从哪些页面能点到它。页面删除后，入口链接是否也一并清理，往往比页面本身更能说明处理是否完整。
• 扫描时间与扫描范围：说明这次结果覆盖了哪些路径，避免把“没扫到”误读成“已清除”。

这些字段可以导出成一份独立文件，放在工具之外。工具换代、账号失效或扫描策略调整时，这份文件仍然可用。

一个假设例子：删除后复扫显示正常，仍不能直接收工

假设某站点在扫描中发现一个文章页被插入了可疑外链，处理方式是直接删除该页面。删除后复扫，工具报告该URL返回404，且全站无异常。此时若只看到“无异常”，容易判断处理完成。

但如果保留的证据字段显示，该页删除前有多个站内页面链接指向它，那么下一步动作应是检查这些入口链接。假设其中两个入口页仍保留着指向已删URL的链接，访问者点击后会落到404，而这两个入口页本身是否被改动过，还需要单独核对。这个例子的意义不在于预测结果，而在于说明：删除页面只处理了终点，历史对比要保留的是“终点消失后，通往它的路径是否也断了”。

会让上述结论失效的反例

如果删除页面之后，站点紧接着进行了模板调整、栏目重组或URL规则变更，那么复扫中出现的差异就无法归因于删除动作本身。此时快照与现网的对比会同时包含两类变化：删除带来的消失，以及改版带来的位移。在这种情况下，先不要用这份对比下结论，而应把改版前后的扫描各自单独保存，等站点结构稳定后再做一次基线扫描，把新基线作为后续对比的起点。

另一个反例是：被删页面本身从未被工具成功抓取过，例如它需要登录、被robots规则挡住，或只在特定参数下才返回内容。此时你保存的字段来自间接证据而非实际抓取，对比的可靠性下降，需要改用服务器访问日志或页面入口的引用关系来补充判断。

下一步动作：先建基线，再决定是否复扫

具体动作是：在下一次扫描前，先为当前仍存在的可疑页面和已删除页面各建一份字段清单，标注每一条的来源是工具抓取、日志还是人工核对。完成这一步后，再执行复扫，并把复扫结果与清单逐项对照，而不是与上一次扫描结果对照。

这样做的直接结果是，你能明确区分三种情况：页面已删除且入口已清理、页面已删除但入口仍在、页面未删除但特征已变化。只有第一种可以进入观察阶段，后两种都需要继续处理。若清单中大量条目的来源标注为人工核对，说明工具覆盖不足，此时优先补的是扫描范围，而不是继续增加对比频次。