蜘蛛劫持排查报告，3个异常最该盯

先给结论：蜘蛛抓取次数没明显变化、收录数也没掉，自然搜索流量却像被人拔了插头——这种最像蜘蛛劫持。别急着换服务器，先把一份蜘蛛劫持排查报告做出来，按“先看哪个、后看哪个”排个序。下面这三个异常，我这些年见得最多，也最容易被一句“可能是波动”糊弄过去。

蜘蛛劫持排查报告先盯哪三个异常？

所谓蜘蛛劫持，说白了就是让你的站对搜索引擎蜘蛛和普通访客看到两套东西。可能是 DNS 被改、CDN 回源被劫、模板里塞了判断 UA 的代码，也可能是 JS 在客户端做手脚。表现五花八门，但落到排查报告上，值得先盯的异常就那么三类：收录和点击对不上、快照和源站对不上、日志里蜘蛛的走法不对。三个里头中一个，先别慌；中两个，基本能立案了。排查顺序也别按心情来，先挑成本最低、证据最硬的那条走。

异常一：收录没掉，点击先掉

流量掉了，第一反应往往是“被降权”，跑去查收录，结果 site 一看收录还在，新文章照收，人就懵了。蜘蛛劫持最典型的就是这个：搜索引擎那边看着正常，索引量没明显缩水，但搜索点进来的流量断崖。因为蜘蛛抓到的页面已经被人换成了另一套内容——可能是泛目录、博彩、医疗，也可能是把你原本的页面 301 到别的站。用户搜关键词，看到的标题和描述还是你的，点进去落地页不对，或者干脆跳走。

这里有个细节，别只看总流量。把品牌词和长尾词分开看，品牌词一般受影响小，长尾词先塌，这种更像内容层被劫。再去搜索资源平台看抓取诊断和索引状态，把最近一周的抓取异常页面捞出来。各家展示不一样，以搜索引擎官方页面说明为准，但大方向都是看蜘蛛抓到了什么、返回了什么。抓到大量你根本没发布过的 URL，就是信号。别只盯着首页，内页和栏目页也抽几个看。

异常二：快照里的页面，不是你写的

第二个异常更直观：搜你的标题，快照打开是一篇完全不认识的页面，返回源站直接访问又正常。这不是灵异，是典型的 cloaking，按 UA、按 IP、按 Referer 判断来路。蜘蛛来的时候给一套，人来的时候给另一套。有的做得更细，只在特定时间段、特定地区切换，排查的时候你白天看正常，晚上就中招。

我一般让人做三张截图：正常浏览器打开源站一张、用蜘蛛 UA 请求同一 URL 一张、搜索引擎快照再截一张。三张放一起，差异一眼就出来。别只截首页，文章页、栏目页、搜索页各抽一下，有些劫持只动内页。截图记得带上时间，后面写报告、提交复核都用得上。

异常三：日志里蜘蛛走的路径很怪

服务器日志是第三个该盯的地方。正常蜘蛛抓取有习惯：先 robots.txt，再首页，顺着内链走，抓取频率相对稳定。被劫持的站，日志里经常出现这些怪象：蜘蛛 UA 集中请求一批站内不存在的路径，返回 200 而不是 404；同一个 IP 段短时间大量抓取；蜘蛛请求的 Referer 很奇怪；访问日志里 UA 写着 Baiduspider，但解析出来的 IP 根本不是搜索引擎的出口。最后一条最值得查，UA 可以随便伪造，IP 段骗不了人。拿日志里的 IP 去反查，跟搜索引擎公布的 IP 段对不上，就要留个心眼。

命令不用花哨，tail -f /var/log/nginx/access.log 先盯着，或者用 grep 过滤蜘蛛 UA，看看它到底在抓什么。日志别只留三天，出事的时候你连对比样本都没有。有条件的话，把访问日志和 CDN 回源日志对一对，有些劫持发生在边缘节点，源站日志反而干净。

蜘蛛劫持排查报告里最容易漏的一步：模拟 UA

上面三步做完，很多人就直接下结论“被劫持了”，然后开始删代码。慢着。还有一步很容易漏：用命令行模拟蜘蛛抓一遍。curl -A ‘Baiduspider’ -I https://你的域名/ 看返回头和状态码，再不加 -I 看正文。如果命令行拿到的是另一套页面，基本坐实；如果命令行和浏览器一样，也别松气，有的劫持认 IP 段，你本地 IP 不在它的判断范围里。

更稳的做法是从外网一台干净机器、换不同地区请求，或者用在线抓取工具对比。别在服务器本机 curl 127.0.0.1，很多劫持逻辑在反向代理层就分完了，本机请求看不出问题。模拟的时候把常见蜘蛛 UA 都试一下，别只试一个。各家蜘蛛 UA 不一样，以官方文档写明的为准。

顺手查 DNS 和 CDN，别只盯着源码

很多劫持不在你服务器上，在解析层和 CDN 层。先看域名解析有没有被改到陌生 IP，A 记录、CNAME 记录、NS 记录都翻一遍。别只看主域名，www、m、静态资源子域都查。CDN 回源地址有没有被改，缓存里有没有被塞进奇怪页面，也要看。有时候源站干净，边缘节点返回的是另一套东西。

查 DNS 的时候多换几个解析工具对比，别只信本地一个结果。DNS 有缓存，刚改完可能还没生效。CDN 的缓存刷新、回源日志、防盗链配置，这些都留个截图。拿不准的以服务商官方页面说明为准，别照着旧教程硬套。

查完先留证据，别上来就 rm

这一行干久了都知道，删文件是最爽的一步，也是最容易把线索删没的一步。查到可疑文件、可疑配置，先打包留档：模板目录、nginx 或 apache 配置、.htaccess、最近改动的文件列表、异常日志片段。尤其是被篡改的 JS 和 PHP 文件，留个哈希值，后面复盘用得上。

顺手看一眼文件修改时间，find 一下最近几天动过的文件，比全站扫一遍省事。CMS 的插件目录、主题目录、上传目录是重灾区。还有数据库里的 options 表、文章表，有些劫持不落在文件上，直接写库。数据库里出现莫名其妙的记录，别急着删，先导出留一份。

清理之后，别只顾着提交

清理顺序我一般这么排：先切断入口，改密码、关掉可疑插件、撤掉异常解析；再清恶意代码；再检查搜索引擎那边有没有安全提示；最后才是提交复核。顺序反了，你这边刚提交，那边后门还在，过两天又中。

另外，蜘蛛劫持排查报告不是查完就扔的东西。把这次的时间线、异常特征、处理动作记下来，下次流量再抖，你至少有个对照。很多站不是被黑一次，是被同一伙人反复光顾。清理完把后台密码、数据库密码、FTP 账号都换一遍，别只换一个。

复盘别写成流水账，问自己三个问题：入口是从哪进来的，是弱口令、插件漏洞还是第三方 JS；清理有没有漏掉数据库和备份；搜索引擎那边有没有提交干净版本。这三个答不上来，下次还得中。

最后给个能落地的顺序：先看搜索资源平台的抓取和索引，再对比快照与源站，然后翻日志查蜘蛛 IP 和异常路径，接着模拟 UA 验证，最后留证据再动手清。三步里中一条就别自我安慰“可能是波动”，中两条就按劫持处理。拿不准的环节，以搜索引擎和服务商的官方说明为准，别信论坛里那些“一键修复”的偏方。