网站挂马检测遇到异常回落，先判断是回归常态还是遗漏条件
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /cd9b10474b7f.html
📄
网站挂马检测遇到异常回落，先判断是回归常态还是遗漏条件
异常回落既可能是攻击者撤掉脚本、临时收敛，也可能是检测动作本身改变了站点状态，或者你观察的指标只覆盖了部分页面。要决定继续深挖还是收尾，先确认回落是否发生在所有入口、所有时段和所有访问类型上；如果只在单一统计口径里成立，更可能是遗漏条件而非回归常态。
先分清两种回落：真实收敛与口径收敛
真实收敛指挂马特征在多种证据上同步消失，例如异常外链、可疑脚本、陌生跳转在原始响应和渲染结果里都不再出现。口径收敛指某一项统计回落，但原始响应仍有异常。判断依据不是数值大小，而是证据是否同源。
- 若回落同时出现在服务器日志、页面源码和第三方监测中，倾向真实收敛。
- 若只有一项统计回落，其他证据仍显示异常，倾向口径收敛，需要继续排查。
- 若回落发生在你修改配置或清理缓存之后，不能直接归因于攻击者停止，先排除自身动作的副作用。
条件一：多入口同步回落，可以按收敛处理
当首页、栏目页、详情页以及移动端入口都出现同样的回落，并且原始响应中的可疑特征消失，才有理由按收敛处理。此时的动作是保留证据快照，再进入观察期。
假设一个站点在三个入口都出现异常跳转，清理后同一时段三个入口均不再跳转，且服务器返回的源码中不再出现陌生脚本。此时可以降低巡检频率，但不要立即删除历史记录，因为攻击者可能更换注入点后再次出现。
观察期的下一步取决于回落是否稳定：若连续多个巡检周期都无异常，可转为常规监测；若再次出现，说明之前只是临时收敛，需要回到入口覆盖和权限排查。
条件二：单一入口回落，先补遗漏条件
如果只有某个统计工具或某个页面显示回落，先检查是否遗漏了参数化页面、子域名、接口返回内容或未登录状态下的响应。挂马常见于按用户代理、来源或登录状态差异投放，常规抓取可能看不到。
具体动作是用不同来源和不同访问状态分别请求同一路径，对比返回内容。若某个状态仍出现异常，说明回落只是覆盖面不足造成的假象。
这一步的结果会直接改变下一步：如果补测后异常复现，应扩大检测范围到同目录和同模板页面；如果补测后仍无异常，才考虑该入口确实已收敛。
用证据链区分回落原因，而不是只看一个指标
请求量、抓取量或某项统计归零，不能单独证明处理正确。它们还可能因为统计口径变化、缓存命中、访问来源调整或采样方式不同而回落。把以下证据按时间顺序排列，能减少误判：
- 异常首次出现的时间点和对应页面。
- 回落前后的原始响应差异，而不是渲染后的页面截图。
- 服务器日志中相关请求的来源、状态码和返回大小。
- 你在此期间做过的配置、清理或权限变更。
若证据链显示回落发生在配置变更之后，且变更前后响应内容一致，那么回落更可能是观察方式改变，而非攻击停止。
例外：回落也可能是攻击者主动降噪
部分注入会按时间、访问频率或来源条件显示，检测频率提高后反而看不到异常。这种情况下，回落不代表安全，而是检测条件被绕过。应对方式是改变请求节奏和来源组合，并检查是否存在仅在特定条件下触发的脚本。
是否继续深挖，取决于你能否用可复核的证据解释回落。如果只能用单一统计口径解释，就把它当作遗漏条件处理；如果多个独立证据都指向收敛，再转入观察期。这个判断会决定你下一步是扩大检测面，还是降低巡检频率。
