百度网站安全中心

打开百度搜索框，百度输入“百度网站安全中心”，网站第一个结果就是安全它。网址是中心 https://safe.baidu.com。页面设计不花哨，百度蓝白配色，网站左侧一排功能入口，安全右侧是中心检测输入框。很多人知道这个页面，百度是网站因为网站被黑了、被挂马了，安全或者浏览器突然弹红警告。中心我第一次用它，百度是网站帮一个做外贸的朋友查他的企业站——谷歌搜不到，百度快照里全是安全博彩链接。他急得不行，我让他把域名贴进百度网站安全中心的检测框，三秒出结果：“该网站存在恶意代码”。下面还列了具体页面和风险类型。这玩意儿比想象中直接。

它到底能查什么

核心功能就三块：网址安全检测、网站漏洞检测、以及网站被黑后的申诉恢复。网址检测最常用，输入域名或具体URL，系统会返回安全、风险、未知三种状态。风险又分恶意代码、钓鱼、诈骗、色情等。我试过一个被挂马的政府站，检测结果里直接标出“页面被植入<iframe>恶意跳转”，连代码片段都截出来了。漏洞检测需要验证网站所有权——下载一个HTML文件放到根目录，或者加一条DNS解析记录。验证通过后，它会扫描常见漏洞：SQL注入、XSS、目录遍历、弱口令。我见过一个用织梦CMS的小站，扫出17个高危漏洞，后台登录页直接暴露在公网。至于申诉恢复，那是给已经被百度拦截的网站用的。提交申诉后，百度会重新抓取审核，通过就解除拦截。整个过程没有人工客服，全是自动化流程。

一个真实案例

去年有个做本地装修的客户，网站突然从百度消失。他以为是SEO问题，折腾了两周没效果。我让他去百度网站安全中心查，结果显示“该网站被黑客入侵，存在恶意跳转”。具体表现是：手机端访问会跳到一个博彩APP下载页，PC端正常。这种叫“UA跳转”，专门坑移动用户。他找空间商恢复了备份，但没清理后门，三天后又被黑。第二次我让他先用安全中心的漏洞检测扫一遍，发现是FCKeditor的上传漏洞没补。补丁打上，改掉默认后台路径，再提交申诉。两天后百度解除拦截。这中间有个细节：安全中心给出的风险描述里，恶意URL的路径是 /plus/mytag_js.php?aid=11，这明显是织梦的漏洞特征。不懂技术的人看到这串字符会懵，但懂的人一眼就知道该删哪个文件。

我的观察

百度网站安全中心有个问题：它只针对百度自己的搜索结果。你的网站在谷歌、360、搜狗那边是否安全，它不管。而且检测频率不高，一个网站被黑后，可能过几天才被百度标记。我试过手动提交一个已知的钓鱼站，检测结果是“未知”——因为百度还没抓取过。另外，漏洞检测的规则库更新速度一般。去年爆出的Log4j漏洞，安全中心大概两周后才加入检测项。相比之下，一些商业扫描器当天就更新了。但话说回来，免费、不用注册、中文界面、直接对接百度搜索——对中小站长来说，这已经是最低成本的方案了。我见过太多人网站被黑后第一反应是找服务器商，其实先来这儿查一下，能省不少时间。

怎么用才有效

别等被黑了才用。定期——比如每周——把主要域名丢进去检测一次。如果网站有后台，开启登录验证码和IP限制。安全中心的漏洞检测最好在网站上线前就跑一遍，很多CMS的默认配置就是筛子。申诉功能别滥用，百度对反复提交虚假申诉的域名会降权。最后，安全中心给出的修复建议往往很笼统，比如“请清理恶意代码”。具体怎么清？它不会教你。这时候要么自己懂技术，要么找靠谱的人。我见过有人直接把安全中心的警告截图发给空间商，空间商回一句“我们只负责服务器安全，网站代码自己处理”。现实就是这样。

说到底，百度网站安全中心是个工具，不是保险。它帮你发现问题，不帮你解决问题。但能发现问题，已经比两眼一抹黑强多了。