网站挂马检测，页面改名后怎样拼接前后统计记录
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /93af15d31048.html
📄
网站挂马检测，页面改名后怎样拼接前后统计记录
页面改名后，旧路径和新路径在日志、站内统计和搜索报告里会变成两条记录。拼接的关键不是把数字加在一起，而是先确认两个路径指向的是同一份内容、同一批访问者，再决定按哪个口径合并。缺少完整数据或后台权限时，最小动作是拉出改名前后各一段日志，按时间和路径逐条对照，而不是直接汇总总数。
先确认两段记录是否描述同一批访问
页面改名通常伴随URL变化。旧路径如果做了跳转，访问会先到旧地址再转到新地址；如果没做跳转，旧地址可能返回404，新地址从零开始积累。这两种情况下，前后记录的含义完全不同。
判断依据可以看三个信号：旧路径在改名后是否仍有请求、这些请求的响应状态是什么、新路径的请求是否在同一天开始出现。如果旧路径持续有200或301响应，说明还有入口指向它；如果旧路径迅速变成404，而新路径请求量同步上升，说明流量发生了迁移而非消失。
这里有一个容易被忽略的解释：旧路径请求量下降，既可能是访问者跟着改名走了，也可能是外部链接失效、缓存过期或搜索抓取减少。单看一个路径的请求归零，不能证明改名处理正确，只能说明该入口的访问形态变了。
把日志、站内统计和搜索报告分开对齐
三类记录的统计口径不同。服务器日志按请求计数，同一访问者刷新多次会重复计入；站内统计通常按去重访客或会话计数；搜索报告只覆盖来自搜索结果的点击，且存在延迟。把三者直接相加会放大误差。
可执行的做法是先选一个基准口径，再让其他记录向它对齐。假设以服务器日志为基准，可以按下面顺序处理：
- 从日志中筛出旧路径和新路径的全部请求，按日期排列。
- 标记每条请求的状态码和来源页，区分直接访问、站内跳转和外部入口。
- 把站内统计的会话数按同一日期贴到旁边，观察差异是稳定比例还是突然跳变。
- 搜索报告单独放一列，只用于判断搜索入口的变化方向，不并入总量。
这样做的结果是：你能看到改名当天旧路径请求是否被新路径接住，以及差异出现在哪个来源上。如果差异集中在直接访问，下一步应检查跳转配置；如果差异集中在搜索入口，下一步应检查新路径是否已被抓取和替换索引。
缺少权限时能做什么，不能推出什么
没有服务器日志权限、只有站内统计只读账号时，仍然可以完成一部分拼接。具体动作是导出改名前后各一周的页面访问报表，按页面路径分组，找出旧路径和新路径的日访问序列。
能得到的结论是：旧路径的访问是否在改名后延续、新路径是否承接了相近量级的访问。不能得到的结论是：这些访问具体来自哪里、是否包含爬虫、跳转是否对每个访问者都生效。站内统计通常过滤了部分机器人，但过滤规则不透明，所以它适合看趋势，不适合当作请求级证据。
如果连站内统计都只有汇总值、没有分路径数据，那么最小动作是记录改名日期，并在之后一段时间内持续观察新路径的访问变化。此时任何“拼接完成”的判断都缺乏依据，只能标记为待补充数据。
用一条可核查的证据链代替数字相加
拼接前后记录的目的，是让改名这件事在数据上可追溯，而不是制造一个更大的总数。一条可核查的证据链至少包含：改名时间点、旧路径在改名前后的请求序列、新路径首次出现请求的时间、跳转响应的状态码、以及差异出现时对应的来源分类。
假设某页面在改名后旧路径仍有301响应，新路径请求从同一天开始上升，站内统计的会话数在两周内接近改名前的水平。这组证据支持“改名未造成明显访问中断”的判断，但不支持“访问量完全恢复”的结论，因为站内统计可能包含跳转带来的重复计数。下一步应核对跳转是否对站内统计的会话识别造成了重复，而不是继续累加数字。
如果旧路径返回404且新路径请求没有同步上升，那么优先检查的是站内链接和外部入口是否仍指向旧地址，而不是调整统计口径。口径调整无法修复一个没有被接住的访问。
把结论写成可复核的状态标记
处理完成后，建议在记录中留下三类状态：已对齐、待验证、无法判断。已对齐指旧路径和新路径的请求序列能按时间衔接，且差异有明确来源解释；待验证指差异存在但缺少来源数据；无法判断指关键日志或分路径数据缺失。
这样标记的好处是，后续任何人复核时不需要重新猜测当时的判断依据。网站挂马检测中常见的误判，往往不是漏看了某条记录，而是把两条口径不同的记录当成了同一条。页面改名后的拼接工作，核心就是先确认口径，再决定合并方式，最后把不能合并的部分明确标出来。
