每天约一万三千个站点被入侵的统计在说谁，攻击进了哪一层

每天约一万三千个站点被入侵这条统计说的是谁？它说的是在装机量极大的公开站点生态里，被批量扫描命中属于常态而不是偶发事故，数字按天累计、分母是整个生态。更值得读的是攻击进了哪一层：恶意代码不再只来自陌生入口，而是被注入本该存在的核心、插件与主题文件里，路径正常、属主正常，按”有没有多出来的文件”排查会整批漏掉。防线因此要移到变更校验、凭据管理与可演练的恢复能力上。

统计口径的适用边界

“每天约一万三千个站点被入侵”这类数字来自对生态整体的估算，分母是数量级极大的公开站点，分子是按天累计的被入侵事件。它描述的不是某一家站点的运气，而是当一个技术栈的装机量足够大时，自动化扫描会把它当作常态目标：扫描脚本不需要针对你，只需要覆盖你。同一批数据里还有另一个更值得读的口径——大规模利用的中位时间只有数小时，也就是说修复公告公开之后，还没处理完的站点会被排队尝试。用这两个数判断风险优先级就够了：不要指望”没人注意我的小站”，也不要把它当成自己一定出事。

注入合法文件意味着什么

风险层次的变化在这里。传统的入侵想象是外部请求打进登录口或者上传漏洞，产出的是一个明显不属于站点的陌生文件；而现在的常见做法是把恶意片段写进本来就该存在的核心、插件或主题文件里。这样的文件路径正常、属主正常、时间戳可能也被一起处理过，按”多出来的文件”排查会整批漏掉。安全报告里对这一点的表述很直白：被注入的正是合法的组件文件，里面塞了恶意代码片段，且更倾向在流量高峰时段动手，让人工核对更难发现。

防线该移到哪一层

第一层是变更可见。能对内容文件与模板做基线比对，改动才有机会被发现；后台的文档状态区分正式文档、草稿、待发布与回收站，正文被改写时状态与修改记录能给出线索，删除的正式文档进回收站而不是直接消失，也保留了比对依据。第二层是凭据与入口收敛。登录与会话是攻击者的真实目标，AnQiCMS 在 v3.6.6 版本修复了站点切换登录凭证可被伪造的问题，官方升级建议同时包含轮换全站签名密钥与修改管理员口令：修复与凭据轮换必须一起做，否则拿到过控制权的路径仍然有效。第三层是权限与操作面，备份、升级这类全站级动作应当默认关闭，按域显式开启。第四层是输入侧，内置的 JWT 认证与内容敏感词过滤处理的是提交与校验环节，防采集干扰码处理内容被批量拿走，它们都不承担后门检测的职责。

事件后的处置顺序

按顺序走，不要跳步。先隔离：限制可被外部触发的入口，避免恶意代码在清理过程中继续被调用。再取证：保留 Web 访问日志、文件变更记录与异常请求样本，判断进入点与影响范围。然后全量校验：只清理”发现的那一处”通常不够，同一批合法文件可能有多处被改动，按清单核对更有效。随后轮换凭据：管理员口令、接口与站点签名相关的凭据都要更新，只改内容不改凭据会被二次进入。最后才是恢复与复盘：确认站点功能与收录正常，把这次的发现方式补进日常检查。

恢复能力怎么备

备份决定事件处置的成本。只备数据库的恢复会缺图缺附件，页面残缺后反而更容易被再次利用；数据备份要连同静态文件一起覆盖，并且真的演练过一次还原。模板改动前留一份可回退的版本，升级前同样先备份。还有一笔常被忽略的账：事件之后要核对收录是否被污染，攻击者改写正文或插入推广内容，会被搜索引擎一起读进去，恢复内容之后仍需按页面清单复核，必要时把改回的地址重新推送一次。

常见问题

问：小站点有必要按这套流程准备吗？ 按成本重排即可：备份能整体还原、凭据能一次换干净、文件改动能看出来，这三件事任何规模的站点都负担得起。

问：只查新增文件为什么不够？ 因为恶意片段可以写在合法文件里。需要比对已知版本的内容差异，而不是只看有没有陌生文件。

问：改了密码就能确认清理干净吗？ 不能。凭据轮换防的是再次进入，已经注入的代码要靠自己清掉或从干净备份还原。

问：被入侵的页面会影响搜索收录吗？ 会。被改写的正文与推广内容可能已被抓取，恢复内容后还要检查索引状态并重新提交关键地址。

问：文件上传功能是不是最危险的一环？ 它是常见入口之一，但风险取决于权限与校验设计：谁能上传、上传后落在哪、能否被执行，这三项比”有没有上传功能”更决定问题大小。