网站被挂马检测工具：总体增长但核心页面下降时怎样拆分平均数
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /9dce37af95b9.html
📄
网站被挂马检测工具：总体增长但核心页面下降时怎样拆分平均数
当总体流量或收录在增长、核心页面却在下降时，先不要急着把两类数字相减。更有效的做法是把“平均数”拆成分子与分母：分子是核心页面自身获得的量，分母是它所在口径覆盖的全部页面或全部访问。核心页面下降而总体增长，通常意味着增长来自分母扩张或非核心页面，而核心页面的分子没有同步增加，甚至被替换、劫持或分流。
先确认你手里的“平均数”是哪一种
不同工具给出的“平均”口径并不相同。站内统计可能按访问次数平均，搜索报告可能按页面或查询平均，第三方估算则往往按整站模型推算。三者混用会让下降看起来比实际更严重，或让增长掩盖核心页面的问题。
- 如果是“平均每页访问量”，分母是页面总数。新增大量低质页面会拉低平均值，但核心页面的绝对访问可能没变。
- 如果是“平均排名”或“平均点击”，分母是参与统计的查询或页面集合。集合变化本身就能改变平均值，不一定是核心页面被挂马。
- 如果是“平均停留”或“平均加载”，分母是会话或请求数。挂马注入的跳转请求会稀释平均停留，但核心页面的真实用户行为可能未变。
把口径写下来，是拆分的第一步。没有写清口径，后面的分子分母比较就没有共同基准。
用一份可核对的证据链锁定遗漏条件
常规排查往往只看核心页面本身：标题、内容、内链、服务器状态。遗漏条件通常藏在“谁在替核心页面承接流量”上。按下面顺序取证据，每步都记录来源和时间，避免把估算当成实测。
- 从站内日志或搜索报告导出核心页面的请求或点击，按天或按周排列。观察下降是突然断崖还是缓慢下滑。
- 导出同口径下全站的总量。如果总量增长而核心页面下降，计算核心页面占总量的比例，看比例是否同步下降。
- 检查核心页面的最终响应内容。挂马常见手法是只对特定来源或特定时段返回被篡改的页面，普通抓取看不到。
- 对比核心页面与新增页面的入口来源。如果新增页面接走了原本指向核心页面的内链或导航入口，核心页面的分母没变、分子被转移。
- 检查是否有跳转、框架或脚本把用户从核心页面带向其他地址。一次跳转就能让核心页面的停留和转化归到别处。
这里的关键不是找到“一个坏页面”，而是确认核心页面的量是被移除、被替换，还是被分摊。三种原因对应三种不同的下一步。
把总体增长拆成“分母贡献”和“分子贡献”
假设一个只用于说明比较方法的例子：某站核心页面A的日访问从100降到60，全站日访问从500升到800。总量增长300，但A下降40。若直接看总量，会得出“站点在变好”的结论；若直接看A，会得出“站点出事了”的结论。两者都不完整。
把变化写成：总量变化 = 核心页面变化 + 非核心页面变化。这里800-500 = (60-100) + (非核心变化)，所以非核心页面增加了340。这说明增长几乎全部来自非核心部分，而核心页面在收缩。接下来要问的是：非核心页面是正常新增内容，还是挂马生成的垃圾页面、镜像页或跳转落地页。
如果非核心页面的增长伴随大量异常入口、异常脚本或异常外链，那么核心页面下降很可能与挂马有关，而不是内容质量单独下滑。如果非核心页面是正常发布的新内容，且核心页面下降只发生在某一来源，那么问题更可能在入口分配或抓取覆盖上。
决定下一步动作：先隔离，再验证，再恢复
拆分完成后，动作要能改变下一次观察的结果。推荐按以下顺序执行，并记录每步之后核心页面的分子是否回升。
- 隔离可疑输出。 对核心页面做一次干净的响应抓取，保存原始HTML，与正常版本对比。如果发现注入脚本、隐藏链接或条件跳转，先移除注入，再观察核心页面请求是否恢复。
- 隔离入口。 如果核心页面的内链或导航被改到其他地址，恢复原入口，观察核心页面的分子是否回升。这一步能区分“页面被替换”和“入口被转移”。
- 隔离口径。 如果核心页面在站内统计下降、在搜索报告里没降，说明是统计口径或过滤规则变化，不应按挂马处理。
- 验证恢复。 恢复后不要只看总量，继续跟踪核心页面的分子和它占总量的比例。比例回升才说明核心页面重新承接了流量。
如果移除注入后核心页面分子没有变化，而总量仍在增长，那么增长来源需要重新归类：可能是广告、推荐或其他渠道带来的非核心流量，与挂马检测无关。此时应回到口径核对，而不是继续在核心页面上加排查项。
什么情况下不必继续拆分平均数
有两种情况可以停止按挂马方向深挖。第一，核心页面下降与全站总量下降同步发生，且非核心页面没有异常增长，这更像整体需求或抓取覆盖变化，不是单页被替换。第二，核心页面在多个独立口径下都稳定，只有某一个第三方估算显示下降，这通常是估算模型差异，不足以支撑挂马判断。
反过来，如果核心页面在站内日志、搜索报告和实际响应内容三处都出现异常，且非核心页面同时异常扩张，那么拆分平均数已经指向一个明确结论：增长来自核心页面之外，核心页面的量被转移或替换。此时应优先处理注入和入口，再重新计算核心页面占总量的比例，用这个比例是否回到下降前水平来判断处理是否有效。
