网站恶意跳转找不出源头？这样排查最快锁定

来源：互联网时间：2026-09-28

最磨人的不是跳转本身，而是“明明在跳，就是找不到在哪”。有人花了一整天翻模板、查配置，跳转还在。网站恶意跳转找不出源头，多半是排查顺序错了——要么从中间乱改起，要么漏了某一层。按从外到内、用对比法的顺序，最快锁定。

一、别急着改，先取证

一发现跳转，第一件事不是改文件，而是把现场留下来。用 curl -I 你的首页把响应头存一份，记录有没有 Location；用无痕窗口开 F12 的 Network 面板，看是哪一次请求触发的跳转、跳去了哪个域名；把当前站点的文件列表和关键配置先打包留档。取证是为了不破坏现场——很多人一上来就删文件，结果后门是动态生成的，删了又生，还把定位线索弄丢了。留好现场，后面对比才有基准。

二、从上到下逐层排查

按“离用户越远越先查”的顺序走：先查 DNS 解析，看域名是不是被指向了别人服务器；再查服务器配置层（.htaccess、Nginx/Apache 的 conf），这是跳转最高发的位置；接着查程序入口（index.php、公共头部）有没有被插；然后查数据库配置表是否被写跳转；再查前端资源（footer、第三方 JS）是否被篡改；最后才考虑本机插件或运营商劫持。每一层用最小动作验证：比如改一行 .htaccess 测试是否还跳，能立刻判断这一层是不是源头。逐层排除，比满站乱找效率高十倍。

三、用对比法最快锁定

如果手头有一份“确认干净”的备份，对比法是最快的。把当前目录和干净备份逐文件比，凡是大小或内容不一样的，就是被改动过的，跳转源头几乎一定在其中。下面这段把当前目录和备份目录比一遍，列出所有差异文件并打出各自大小，你只盯着这份清单排查就行，不用全站翻。

# 把当前站点目录和一份"干净备份"对比，列出被改动或新增的文件
import os
 
CUR = "/www/example.com" # 当前站点目录
BAK = "/backup/example.com.clean" # 一份确认干净的备份
 
def tree(p):
 out = {}
 for root, _, files in os.walk(p):
 for f in files:
 fp = os.path.join(root, f)
 out[os.path.relpath(fp, p)] = os.path.getsize(fp)
 return out
 
c, b = tree(CUR), tree(BAK)
for k in sorted(set(c) | set(b)):
 if c.get(k) != b.get(k):
 print("差异文件:", k, "当前大小", c.get(k), "备份大小", b.get(k))

跑出来的差异文件，优先看 .htaccess、入口文件和近期新增的文件——它们最可能是跳转源头。没有干净备份也别慌，把当前所有文件按修改时间排序，重点看近几天你没动过的那些，挂马留下的后门时间往往很新。

四、二分与日志法收尾

对比法还找不到，就用二分法：临时把一半功能或模板替换为干净版本，看跳转是否消失，消失就说明源头在那一半，再对半分继续缩，很快能圈到具体文件。另一招是看访问日志，找出跳转型请求对应的脚本路径和 UA，顺着路径直接定位。锁定后按清除流程处理，并补上入口加固（上传目录禁执行、关危险函数、后台加验证）。找不出源头不可怕，可怕的是不按层、乱下手，把现场搅浑了反而更难查。

网站恶意跳转找不出源头？这样排查最快锁定

相关文章