Google 防止网站感染恶意软件指南｜智引科技增长实验室

💡 核心摘要：防止网站感染恶意软件不是一次性加固，而是持续监控和维护。Google 官方建议定期用 site: 检查网站是否出现未知页面，查看 Search Console 安全问题报告，开启消息邮件转发；同时要使用安全密码、谨慎选择第三方内容来源、保持本地工作站安全、及时更新服务器和 CMS 软件、监控日志、排查开放重定向/XSS/SQL 注入，并使用 SSH/SFTP 等加密协议。

一、为什么“预防感染”比事后清理更重要

网站感染恶意软件后，影响通常不止一个页面。

攻击者可能植入隐藏页面、修改 .htaccess、注入 JavaScript、制造开放重定向、上传恶意文件、篡改下载包，或在搜索结果中生成完全无关的垃圾页面。

一旦 Google 检测到风险，用户可能在搜索结果、浏览器或访问过程中看到安全警告。即使你很快清理了页面，搜索结果恢复、用户信任恢复和安全复审仍然需要时间。

所以更成熟的做法是建立预防体系：持续监控、及时更新、限制权限、检查日志、减少第三方风险，并让安全问题能尽早被发现。

二、先用 Search Console 建立安全监控入口

Google 官方建议通过 Search Console 监控网站运行状况。

最重要的入口有三个：

site: 搜索运算符
Search Console 安全问题报告
Search Console 消息面板和邮件转发

site: 可以帮助你从 Google 搜索结果视角观察网站是否出现未知页面或非预期内容。

安全问题报告可以显示 Google 在网站上发现的被黑网页或安全问题，并提供解决说明。

消息面板会在 Google 检测到恶意软件时通知你。为了及时看到通知，应把 Search Console 消息转发到常用邮箱。

三、定期用 `site:` 检查未知页面

Google 官方建议定期使用 site: 搜索运算符，查看 Google 在你的网站上发现了哪些网页。

基础查询：

site:https://example.com/

检查时要特别关注：

陌生目录
外语垃圾页面
博彩、贷款、药品、成人等高风险关键词
标题和摘要与网站主题无关
看起来像登录、验证或下载的异常页面
大量参数页或跳转页

如果发现未知网页或并非自己创作的内容，说明网站可能已遭到黑客入侵。此时不要只删除搜索结果中看到的页面，要继续排查服务器、CMS、日志和入口漏洞。

四、配置安全问题邮件通知

安全问题只有被及时看到，才有处理价值。

Google 官方提到，如果 Google 在网站上检测到恶意软件，你会在 Search Console 消息面板中看到通知，并可设置将消息转发到电子邮件账号。

建议这样配置：

至少一个长期有效的团队邮箱接收通知
SEO、技术负责人和安全负责人都能看到高优先级告警
不要只绑定离职风险高的个人邮箱
为 Search Console 通知设置邮件规则和告警
定期确认 Search Console 资源所有者仍然有效

很多安全事故扩大，并不是因为没有通知，而是通知发到了没人看的邮箱。

五、所有网站所有者都要做的基础检查

Google 官方把安全核查清单分成两类：所有网站所有者，以及有权访问服务器的网站所有者。

所有网站所有者都应该做这些基础动作：

使用安全密码
谨慎选择第三方内容提供方
联系托管公司或发布平台获取支持
确保本地工作站安全

这些看起来基础，但恰恰是很多入侵的入口。弱密码、失控插件、未知广告源、感染病毒的本地电脑，都可能让网站被植入恶意内容。

六、使用安全密码和账号策略

安全密码是最低成本的防护。

建议落实：

管理员账号使用强密码
不同系统不要共用密码
启用多因素认证
离职人员及时移除权限
不要共享管理员账号
定期审查 CMS、托管平台、域名、CDN 和 Search Console 权限

如果攻击者拿到管理员账号，很多技术防护都会失效。账号安全必须纳入网站安全基线。

七、谨慎选择第三方内容和广告来源

Google 官方建议选择第三方内容提供方时要非常谨慎，确保网站上的第三方应用和广告来自可信、合法的来源，并且提供支持和联系信息。

第三方来源包括：

广告网络
统计脚本
客服组件
评论插件
支付组件
下载组件
嵌入视频或小工具
外部 JavaScript 和 CSS

如果第三方脚本被攻击或来源本身不可信，它可以在你的页面上执行代码，影响用户安全和搜索信任。

对每个第三方资源都应记录来源、用途、负责人、加载位置和下线方式。

八、善用托管公司和发布平台支持

如果你使用托管服务、建站平台或 CMS 平台，安全问题不一定只能自己处理。

Google 官方建议联系托管公司或发布平台获取支持。很多平台都有安全页面、响应团队、RSS Feed 或公告渠道。

建议建立这些信息：

托管服务商安全支持入口
紧急联系渠道
平台状态页
安全公告或 RSS Feed
备份和恢复文档
WAF、防火墙或恶意软件扫描能力

当发生入侵时，平台支持可能比你自己排查服务器更快定位问题。

九、本地工作站也是网站安全的一部分

Google 官方特别提醒，在创建网站时，要确保本地工作站安装了最新版本的软件，没有受到病毒、特洛伊木马或类似恶意软件感染，并安装最新版本的防病毒软件。

原因很直接：网站代码、FTP/SFTP 凭据、CMS 管理账号、SSH 密钥、部署令牌都可能存在开发者电脑上。

本地电脑被感染后，攻击者可能通过这些凭据进入网站。

建议：

开发和运维电脑保持系统更新
使用可信防病毒或端点安全工具
不要在不可信电脑上登录后台或服务器
SSH 密钥设置口令并妥善保管
部署令牌和 API 密钥不要明文散落
发现本地感染后立即轮换网站相关凭据

十、有服务器权限时要检查服务器配置

如果你有服务器访问权限，Google 官方建议检查服务器配置。

重点包括：

目录权限
服务器端包含内容
身份验证
加密配置
默认目录和默认文件暴露
不必要模块和服务
管理后台访问限制

Apache、IIS、Nginx、对象存储、CDN 和应用服务器都有自己的安全配置。不要只依赖默认配置。

服务器配置错误常常不会立刻影响网站功能，但会给攻击者留下入口。

十一、备份访问控制文件但不要暴露备份

Google 官方建议备份 .htaccess 文件，或根据平台备份其他访问控制机制，方便日后故障恢复；完成后一定要删除备份文件。

这是一个容易被忽略的细节。

错误做法包括：

.htaccess.bak 留在网站根目录
access-control-old.conf 可被下载
nginx.conf.backup 放在公开目录
权限文件备份被 Google 索引
配置文件中包含路径、账号或内部规则

备份文件应该放在不可公开访问的位置，并纳入版本管理或安全备份流程，而不是留在 Web 根目录。

十二、及时更新软件和补丁

Google 官方强调，许多网站所有者会架设论坛或博客后长期不维护，这是常见错误。

所有网站组件都可能存在漏洞：

CMS
论坛系统
博客程序
主题
插件
前端依赖
后端框架
数据库
操作系统
Web 服务器
控制面板

建议维护一份软件清单，记录组件名称、版本号、负责人、更新时间和升级风险。

即使你自己的网站组件已更新，如果托管服务商操作系统补丁过旧，仍然可能存在风险。因此要把服务器和平台层也纳入检查。

十三、监控日志文件中的攻击线索

Google 官方建议养成监控日志文件的习惯，因为它能提高安全性。

需要关注：

陌生网址参数
包含 =http: 或 =// 的参数
重定向 URL 访问量突增
异常 404、403、500
同一 IP 高频请求
可疑用户代理
后台登录失败激增
上传接口异常请求
短时间内大量新 URL 被访问

=http: 或 =// 这类参数尤其值得关注，它们可能表示攻击者正在测试开放重定向。

日志也可能被攻击者更改。应采取措施保护日志，例如限制写入权限、集中收集日志、移动默认位置或使用外部日志系统。

十四、排查开放重定向

开放重定向是攻击者常利用的问题之一。它允许攻击者借用你的域名，把用户跳转到外部恶意网站。

风险示例：

https://example.com/redirect?url=https://evil.example
https://example.com/go?next=//evil.example

如果跳转参数没有白名单和校验，攻击者可以利用你的可信域名进行钓鱼、垃圾推广或恶意软件下载。

防护建议：

只允许跳转到白名单域名
优先使用内部路径而不是完整外部 URL
对跳转参数做严格解析和编码
记录和监控外部跳转
对异常跳转来源进行拦截

开放重定向既是安全问题，也可能成为搜索结果和品牌信任问题。

十五、排查 XSS 和 SQL 注入

Google 官方建议检查网站是否存在常见漏洞，特别是 XSS 和 SQL 注入。

XSS 可能让攻击者把恶意脚本注入页面，窃取用户信息、修改页面内容或跳转用户。

SQL 注入可能让攻击者读取、修改或删除数据库内容，甚至创建恶意页面和后台账号。

基础防护包括：

对用户输入进行验证和转义
使用参数化查询
避免拼接 SQL
输出到 HTML、属性、URL、JavaScript 时分别编码
设置内容安全策略
限制数据库账号权限
不要在错误信息中暴露 SQL 和路径
定期做依赖和漏洞扫描

这类漏洞一旦被利用，搜索结果中可能出现大量被植入内容。

十六、避免开放权限目录

Google 官方提醒，开放权限目录就像敞开自家大门。

常见问题包括：

上传目录允许执行脚本
公开目录允许列目录
配置文件可被下载
日志文件位于公开目录
备份压缩包留在 Web 根目录
临时目录权限过宽
对象存储桶公开写入

上传目录尤其要谨慎。用户上传的图片、文档或附件不应该能被当作脚本执行。

目录权限应遵循最小权限原则：能读就不要写，能存静态文件就不要执行代码。

十七、使用 SSH 和 SFTP，不要用明文协议

Google 官方建议使用 SSH 和 SFTP 等安全协议，而不是 telnet 或 FTP 这类纯文本协议传输数据。

明文协议会让账号、密码和传输内容更容易被窃听。

建议：

禁用 FTP 和 telnet
使用 SFTP、SSH 或其他加密通道
SSH 使用密钥认证
限制 SSH 登录用户和来源 IP
定期轮换密钥
关闭不再使用的账号

传输通道安全是防止凭据泄露的重要基础。

十八、建立安全资讯和补丁跟踪机制

Google 官方建议了解最新安全资讯，并提到 Google 安全博客和 US-CERT 等资源。

对实际团队来说，重点是建立“谁负责看，谁负责判断，谁负责修”的机制。

可以订阅：

托管服务商安全公告
CMS 和插件安全公告
操作系统和服务器软件安全公告
Google 安全博客
US-CERT 或本地应急响应中心
依赖库漏洞通知

安全资讯只有进入修复流程，才真正有价值。

十九、完整预防流程

确认 Search Console 资源所有权和消息通知邮箱
定期用 site: 检查未知页面和异常内容
每月检查安全问题报告和人工处置措施报告
使用强密码和多因素认证
审查第三方应用、广告和脚本来源
确保本地工作站安全
检查服务器目录权限、认证和加密配置
备份访问控制文件，但不要把备份留在公开目录
维护 CMS、插件、主题、服务器和系统补丁清单
监控日志中的异常参数、重定向、登录和上传请求
排查开放重定向、XSS 和 SQL 注入
禁用 FTP/telnet，使用 SSH/SFTP
订阅安全公告并把漏洞信息转成修复任务