网站被挂暗链之后：从发现问题到通过复审，顺序别搞反
网
发现网站被黑的那一刻，大部分人的第一反应是赶紧改首页。这个顺序是反的。
搜索引擎那边已经存在一个“染毒版本”的快照，浏览器里你看不来变化的那些页面，它可能早已抓过了。所以第一件事不是改，是查搜索引擎看到的是什么。
图片来源：网络，版权归原作者所有，侵权请联系删除
先分清是哪一类通知
Search Console 左侧“安全与手动操作”这一块下面分两个报告，两条路的修法和入口都不一样。
| 报告 | 针对什么 | 典型表现 |
|---|---|---|
| 安全问题 | 黑客内容、恶意软件、钓鱼或欺骗性页面 | 搜索结果出现“此网站可能已遭到入侵”，浏览器红色警告页 |
| 手动操作 | 违反垃圾政策：UGC 垃圾、非自然链接、伪装或隐蔽跳转、垃圾结构化数据 | 排名下滑，但普通访客看不到任何提示 |
手动操作这份清单通常由人工审查员判定，它不会有浏览器警告，所以很多人是在流量掉了之后才第一次打开这个页面。
看 Googlebot 实际抓到什么
用网址检查工具里的“测试实际网址”，对着报告里给出的样例 URL 跑一遍。这一步很关键，因为相当一部分注入代码是分条件执行的：只对搜索引擎的 UA 生效，或者只对某些地区 IP 生效。你自己用浏览器打开，看到的是干净的那一版。
报告里给的只是抽样。攻击者动手的范围通常比列出来的那几条大得多，用 site: 语法加上一些与你行业完全无关的词去自查，经常能翻出一批意外结果。
两类页面要分开处理
被篡改的正常文章：优先在原 URL 上恢复真实内容，顺手检查状态码、标题、canonical、内链有没有被改坏。
黑客新建的、没有正常替代内容的 URL：去掉它们的生成入口，让这些地址实际返回 404 或 410。这里有一条常见的错误做法：把所有垃圾路径一股脑 301 到首页。这么做等于把大量不相干的 URL 指向一个页面，信号会很难看。
清理的同时改掉所有凭证
主机面板、CMS 后台、FTP、数据库，一个都别落下。清理完不换凭证，攻击者往往会在几天之内回来看看成果。另外顺便检查一下计划任务、管理员账号列表和文件修改时间。
需要快速隐藏时用移除工具
Search Console 的移除工具可以临时把指定 URL 或 URL 前缀从搜索结果里隐藏。它的作用是临时的、只作用在搜索结果上，不负责清理服务器文件。前缀如果选错，很容易把正常页面一起干掉，提交之前先看清楚范围。
复审请求怎么写
清理完成后，在安全问题报告里点“请求审核”；如果是手动操作，就在对应报告里提交重新审核请求。按事实写就行，我一般按这个顺序组织：
- 什么时候发现的，哪些路径和功能受影响，排查是怎么展开的
- 已确认的注入位置和入口；根因还没查清的就如实写未确认
- 删除或恢复了哪些内容，修补了哪些组件，撤掉了哪些异常权限
- 用哪些 URL 和访问条件复测的，结果是什么，以后怎么监控复发
不要附密码、私钥或客户资料，也不要声称做了实际上没做的扫描。谷歌提醒过，审核需要几天到数周，处理中的请求不要反复提交。
还有一点容易被忽略：排名恢复不是审核通过的那一刻发生的。安全警告解除、页面重新被索引、点击量回升，这是三件事，要分开观察。
之后两个月要盯的事
被黑过的站点常被当成进一步攻击的跳板。审核通过后，保持对外链情况和索引量变化的观察，周期建议两到三个月。这时候再发现异常，处理的成本会低很多。