网站病毒检测，哪一步最容易被跳过？

网站病毒检测这事儿，最容易被跳过的一步不在扫描环节，而在扫描之前，也就是没有给站点留一份能对照的底。听着像句废话。但实际遇到的情况往往是，客户发现网页被塞了陌生代码，第一反应是赶紧找个工具跑一遍，然后照着工具的红名单删文件。删完页面白了，或者站点干脆打不开。到那会儿才有人问：原来的文件长什么样来着？

网站病毒检测里被跳过最多的，是检测前那份底

一台主机上文件成千上万，扫描工具能做的无非是按特征码对一遍。它认得出已知的坏东西，认不出“这个文件本来就有还是昨天新加的”。开源程序的核心文件里本来就躺着一堆看着可疑的写法，eval、base64_decode、assert、各种拼接，工具一视同仁全给你标红。你手里要是没有一份原始文件清单，面对这堆红点根本没法判断。留底真不复杂，整站打包丢到别的机器上一份，数据库导出一份，顺手记一下文件数量和最近的修改时间。站点要是早就用 git 管着，那更省事，一个 status 就能看出谁被动过。

扫描报红不等于中招，误报比漏报常见得多

混淆压缩过的 JS、第三方统计代码、老版本的前端库、还有缓存目录里那些乱七八糟的合并文件，都会被当成可疑对象。反过来，真后门有时候藏在 .htaccess 里，藏在给上传文件改过名的图片里，甚至躺在数据库某个字段里，工具压根不往那儿看。所以我自己的习惯是，扫描结果只当线索，不当判决书。看到红点先别急着删，把文件路径复制出来，搜一下全站哪里引用它，比比修改时间跟同目录其他文件是不是一批。时间戳明显不一样的那个，才值得多看两眼。

跳过人工核对那一步，删错东西是常事

见过把主题文件里一段正常的加密逻辑删掉，前台直接崩的；也见过整目录删空，结果那是插件自带的正经文件。判断顺序可以简单点：先看这个文件有没有被别处引用，再看它是不是最近才冒出来，最后才看内容长什么样。有人图快全选删除，回收站里也没有，主机上删了就是删了。这就是开头那份底值钱的地方，至少能还原回一个能跑的版本，不用从头重装。

清理完之后的验证，比扫描更容易被跳过

很多人扫完、删完、页面恢复正常，就收工了。留后门的人很少只放一个入口。清理完至少再跑一遍检测，重点看这几个地方：计划任务里有没有陌生的定时执行（crontab -l 能看到）、.user.ini 有没有被人加过东西、伪静态规则有没有被塞进跳转、后台用户列表里有没有多出来的管理员、数据库里的文章内容有没有被注入隐藏链接。还有一类常被忽略，上传目录里那些体积不大、名字随机的 php 文件。清完这些，密码该改的都得改，数据库密码和后台账号一起。日志也别扔，往前翻几天，看看入侵是从哪个口子进来的，不然下次还从同一个地方再进一遍。

只有虚拟主机面板权限的，能做和不能做的

手上只有面板权限的，能做的确实有限：检查文件、比对修改时间、看看有没有陌生目录，把可疑文件下载下来留证。做不到的是看系统层进程和网络连接，也看不到同台机器上别人的站点。跨站、旁注这类事，责任在服务商那一侧，发现异常直接把文件路径和时间发给客服，让他们去查宿主机。别自己乱删目录，删坏了面板都可能进不去。具体能查到什么程度，以服务商的说明和官方页面为准，各家面板给的权限不一样。

顺序倒过来做，反而省事

正常的排查顺序大概是：先备份，再动手做任何删除；然后拉当前文件清单，和干净版本对照；接着跑扫描，只把结果当线索；随后人工核对每一条，确认了再清理；清理完再验证一遍，改密码，翻日志。看着啰嗦，真正花时间的只有核对那一段。反过来图快，先删后想，往往要花几倍时间找原因，还得跟客户解释为什么网站打不开了。

网站被塞东西这事，慌乱是最大的帮凶。留一份底、把扫描当线索不当判决、清完再验一遍，这三件事谁都能做，也花不了几个钱。真要说哪一步最容易被跳过，还是开头那一步，因为它不产生任何看得见的成果，人本能就想往后拖。