网站被黑后规模扩大，哪些工作不适合继续手工做
📱 CCBot/2.0 (https://commoncrawl.org/faq/)
🔗 /e578aa0c142a.html
📄
网站被黑后规模扩大，哪些工作不适合继续手工做
结论先说：当站点从几十个页面扩展到成千上万个 URL、从单人维护变成多人协作时，逐页检查恶意代码、手工比对文件、人工记录可疑链接这三类工作应当停止手工执行，改用可重复、可留痕的批量流程。但有一个反例会让这个结论失效：如果被黑范围只集中在少数几个模板或一个上传目录，且你还没有稳定的文件基线，那么此时上批量工具反而会把误判放大，先手工锁定入口仍是更稳的选择。
为什么规模一变大，手工排查就从可靠变成风险
小站被黑时，人工逐个文件看代码是可行的，因为总量有限，你能记住哪些文件本该存在。规模扩大后，同样的动作会产生两个问题：一是覆盖不全，你只能抽查，漏掉的那部分恰恰可能是攻击者保留的后门；二是判断不一致，不同的人对"这段代码是否可疑"标准不同，交接时无法复现。
更关键的是，手工操作没有留下可比对的记录。下次再被黑，你无法回答"这次和上次是不是同一个入口"。批量流程的价值不在于更快，而在于每次执行都产生可对比的结果，让"是否复发"变成可判断的事实，而不是凭印象。
哪些工作应当从手工转为批量流程
判断标准是：这项工作是否需要覆盖全部对象，且结果需要跨时间对比。符合这两条的，就不该继续靠人一页页看。
- 文件完整性检查：核心文件、模板、上传目录的哈希比对，适合用基线加定期扫描完成。手工只能做抽样，抽样无法证明"没有其他后门"。
- 可疑链接与跳转清理：被注入的隐藏链接、跳转往往分布在大量页面里，逐页删既不现实也容易删错正常外链。应先用规则筛出候选，再人工确认。
- 日志中的异常请求归类：访问日志量大时，人工翻看只能看到最近的几条。按请求特征分组统计，才能看出攻击是从哪个路径反复进入的。
反过来说，判断某个可疑文件到底是不是后门、决定是否回滚某个改动，这类需要结合业务语境的决定，仍然适合人工做。批量流程负责缩小范围，人负责拍板。
一个会让上述结论失效的反例
假设你的站点刚被黑，且此前从未建立过文件基线。这时如果直接跑完整性扫描，工具会把所有"与默认版本不一致"的文件都标出来，其中大量是你自己长期修改过的正常文件。告警数量会淹没真正的后门，你反而更难定位入口。
这种情况下，正确的顺序是先手工确认被改动的范围是否集中——比如是否只涉及某一个模板文件或某一个上传目录。如果范围确实集中，就先手工锁定并清理这一处，同时立刻为清理后的状态建立基线，再转入批量监控。跳过"先建立可信基线"这一步，批量工具只会制造噪音。这个例子是假设的，用于说明顺序，不代表任何具体工具的检出表现。
从手工转向批量时，先做哪一个动作
下一步动作不是立刻买工具或写脚本，而是先固定一份当前状态的文件清单和哈希值，作为后续比对的基准。这个动作的结果会直接决定后面怎么走：
- 如果清单能顺利生成，且你确认当前文件是干净的，那么这份清单就是基线，之后所有完整性检查都相对它进行，误报会大幅减少。
- 如果生成清单时发现大量文件无法确认来源，说明站点缺少版本管理或部署记录，此时应优先补齐部署流程，而不是先上扫描工具。
- 如果清单显示改动集中在少数路径，回到上面那个反例，先手工处理这几处，再建立基线。
换句话说，批量流程能不能用，取决于你有没有一份可信的参照。参照不存在时，先造参照，而不是先造告警。
规模扩大后仍需保留的人工判断
批量流程替代的是覆盖和比对，不是决策。以下几件事即使站点很大，也不适合完全交给自动规则：
- 确认某个被标记的文件是否真的恶意，还是业务需要的自定义代码。
- 决定被注入页面是清理还是整站回滚，这涉及内容损失与恢复时间的权衡。
- 判断攻击入口是否已经堵住——扫描干净不等于入口关闭，需要结合日志和访问路径人工复核。
把这些判断留给人工，把覆盖和留痕交给批量流程，规模扩大后才不会因为"查不全"或"说不清"而反复返工。清理完成后，用同一套基线再跑一次比对，如果结果与基线一致，才说明这一轮处理可以收尾；如果不一致，说明还有未处理的对象，下一步应回到差异清单继续定位，而不是直接恢复上线。
