网站被挂马检测工具：报告应该展示哪些证据
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /0256a511f13e.html
📄
网站被挂马检测工具：报告应该展示哪些证据
一份可用的挂马检测报告，核心不是给出“有马”或“没马”的结论，而是展示可复核的证据链：可疑文件路径、命中特征、修改时间、请求与响应内容、以及判断依据。缺少这些内容的报告只能当作线索，不能作为处置依据。
先分清两类报告：扫描告警与人工取证
挂马检测工具的输出通常分两层。第一层是扫描告警，告诉你某个路径命中了某条规则；第二层是取证证据，能让人独立验证这条告警是否成立。比较两种处理方案时，先看报告属于哪一层。
- 方案A：直接按告警批量删除或隔离。适用前提是告警来源可信、路径明确、且你已有干净备份。验收信号是删除后复扫不再命中，且页面访问正常。
- 方案B：先取证再处置。适用前提是站点仍在对外服务、无法停机，或告警涉及核心业务文件。验收信号是形成完整证据链后再动手，避免误删正常文件。
两种方案没有绝对优劣。判断条件是：告警是否可复现、文件是否属于你自己编写的代码、以及你能否承受误删带来的恢复成本。
报告里必须能看到的文件级证据
文件级证据是报告的地基。至少要能回答“哪个文件、哪一行、为什么可疑”。
- 完整路径与文件名：相对站点根目录的路径，便于定位。
- 文件哈希：如 MD5 或 SHA-256，用于确认你看到的和报告里的是同一个文件。
- 修改时间与创建时间：被挂马的文件常出现时间异常，例如大量文件在同一分钟被改动。
- 命中片段：具体到行号和代码内容，而不是只给一个规则名称。
- 判断依据：是特征匹配、行为异常，还是与官方版本比对不一致。
举例（假设场景）：报告显示 /include/header.php 第 42 行含有一段被编码的脚本，修改时间集中在凌晨 3 点，而其余同类文件均为数月前。这三条信息互相印证，比单说“检测到木马”有用得多。
请求与响应证据：证明它真的在对外生效
文件可疑不等于正在被利用。报告若声称挂马已生效，应给出可复现的访问证据。
- 触发条件：访问哪个 URL、带什么参数或 Referer 才会触发。
- 响应内容：返回的 HTML 或脚本片段，最好附上原始响应而非截图。
- 状态码与跳转：是否出现异常 302 跳转、隐藏 iframe 或外链脚本。
- 时间戳：证明该现象在检测时段内可复现。
如果报告只给文件证据、没有请求证据，那么结论应表述为“存在可疑文件”，而不是“站点正在被挂马”。这两种表述对应的处置紧迫度不同。
用证据链交叉验证，而不是单点下结论
单一指标容易误报。正常代码也可能包含被规则命中的字符串，例如某些统计脚本或加密函数。可执行的验证步骤：
- 取报告中的文件哈希，在本地或备份中查找同一文件的原始版本。
- 对比差异行，确认改动是否为你自己或已知插件所为。
- 按报告给出的触发条件实际请求一次，记录响应。
- 若三处证据一致指向同一段代码，再判定为确认挂马。
验收信号是：任意第三方按报告中的路径、哈希和请求方式，都能复现同样的结果。做不到这一点，报告只能算待验证线索。
报告还应标注证据的局限
负责任的报告会说明自己没覆盖什么：是否只扫了网页目录、是否跳过压缩包和数据库、是否未检查定时任务与第三方外链。第三方估算流量、搜索引擎报告与站内统计口径不同，都不能单凭某一项还原完整攻击路径。看到“未发现”时，先确认扫描范围，再决定是否补充人工检查。
下一步：拿现有报告逐条核对上述证据项，缺哪一项就补哪一项；补齐后再决定是直接隔离文件，还是先留存证据再处置。
