网站被挂马检测工具：旧页面能否直接横向比较，先看上线时间
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /9abb8270bca3.html
📄
网站被挂马检测工具：旧页面能否直接横向比较，先看上线时间
不能直接横向比较。业务上线时间不同的页面，即使检测工具给出的异常数量一样，也不能说明风险相同，因为老页面暴露时间长、被改过的次数多，新页面还没有经历同样的累积过程。正确做法是先按上线时间分层，再在同一层内比较，最后决定哪些旧内容退出、哪些保留。
为什么上线时间会污染横向比较
挂马、暗链、跳转脚本这类问题不是均匀分布的。一个页面上线三年，期间可能换过模板、改过编辑器、接过第三方统计代码、迁移过域名；另一个页面上线三周，只经历过一次发布。检测工具扫描的是当前状态，它看到的是累积结果，不是同一时间窗口内的变化。把这两类页面放进同一张表里排序，排在前面的大概率是老页面，但这反映的是暴露时长，不是页面本身更危险。
这一点常被忽略：异常数量是存量指标，不是风险率指标。存量天然随时间增长，除非页面从未被修改过。
假设情境：一次旧内容清理中的比较错误
假设某站点要下线一批旧专题页，同时保留仍有访问价值的几篇。运营人员用检测工具跑了一遍，把“可疑脚本数量”从高到低排列，准备先删前二十个。结果排在前面的几乎都是上线五年以上的页面，其中几篇至今仍有稳定访问，而几个刚上线、数量为零的页面反而没有历史包袱。
如果直接按这个排序删除，损失的是仍有价值的老内容，留下的却可能是尚未暴露问题的新页面。这就是把“上线时间不同”当成“风险不同”的典型误判。
按上线时间分层后再比较
可操作的做法是给每个页面补一个上线时间字段，然后分层：
- 同一季度上线的页面放在一组，组内比较异常数量和异常类型。
- 跨层比较时只看类型，不看数量。老页面出现陌生外链脚本，新页面也出现同类脚本，这才说明可能是同一批模板或同一段公共代码引入的问题。
- 对孤例单独处理。某个老页面异常数量远高于同层其他页面，才值得优先排查，而不是因为它老就优先。
执行这一步后，判断依据从“谁老谁可疑”变成“同层内谁偏离”。下一步动作也随之改变：偏离同层的页面进入人工复核，同层内表现一致的页面先保留观察。
退出与保留的取舍依据
分层比较之后，退出决策还要结合内容价值，而不是只看检测结果。可以用三个条件区分：
- 同层内异常偏高，且内容已无访问价值：直接退出，不必修复。
- 同层内异常偏高，但内容仍有访问：先隔离可疑脚本，再决定是否重建页面。
- 同层内表现正常，但内容已过时：按内容策略退出，与挂马检测无关，不要混为一谈。
这里有一个容易出错的推论：某个页面被清理后异常数量归零，不能单独证明清理动作正确。归零也可能来自页面被下线、脚本加载失败、检测范围调整。要确认因果，需要看同层其他页面是否也出现同样变化，以及变化是否与某次发布或模板调整时间吻合。
把结论写回检测流程
比较结束后，应把上线时间作为检测报告的固定维度保留下来，而不是一次性使用。下一次扫描时，先看新增异常集中在哪一层：如果集中在新上线页面，可能是最近一次发布引入；如果集中在老页面，可能是长期未维护的模板或第三方代码。两种情况的处理动作完全不同，前者回滚发布，后者安排内容退出或重建。
这样，检测工具的输出才从一张排序表变成可执行的决策依据，旧内容该退的退，该留的留，不会因为上线时间不同而被误伤。
