一份安全报告摆到你面前，密密麻麻全是攻击记录，问你要不要立刻停机整改。多数人会先翻到最吓人的那一行。其实先该翻的不是它，是这份报告有没有回答一个朴素的问题，门到底被推开了没有。
攻击条数多，不等于出事。返回 200，也不等于沦陷。这两件事听着简单，真到拍板的时候，最容易被一堆数字带跑。这篇不教你怎么查，只回答两件事，要不要做这套双核查，以及拿到一份报告怎么判断它靠不靠谱。
拿到一份安全报告，先问三个问题
不用懂脚本，也不用登服务器，三个问题问完，大概就知道该不该再往下挖。
一，日志里那些探测请求，落地了吗。报告有没有写清楚，对应文件在服务器上到底存不存在、有没有多出一个不该有的脚本。只给一堆请求条数、不给落地结论的，等于只讲了有人敲门。
二，返回 200 的那几条，是什么业务。状态码 200 只说明服务器答应了，答应的是验证码、编辑器接口还是别的，得一条条对。本站那次回溯里，45 条 .php 返回 200 经核实全部是正常框架文件。报告要是把 200 直接算成入侵证据，或者反过来一句不提，都不算答完。
三，有没有把敲门和破门分开写。约 5641 次攻击类请求全被 404 或 403 挡在门外，这是一种结论；webshell 没落地、敏感配置没被读走，是另一种结论。前者讲有人来试，后者讲有没有成。混成一句风险很高，你就没法判断该止血还是该加固。
| 先问 | 靠谱的报告会写 | 答不上的意思 |
|---|---|---|
| 探测请求落地了吗 | 对应文件在不在、有没有多出脚本 | 只统计了敲门，没查门 |
| 200 的那几条是什么业务 | 逐条定性，正常框架文件还是异常 | 把 200 当结论跳过了核实 |
| 敲门和破门分开写了吗 | 试探归试探，落地归落地，评级单列 | 一句风险很高，没法定动作 |
三个问题都答得具体，说明这份报告做过服务器上那一半的核查，你可以顺着它的结论谈加固。答不上来，或者通篇只有条数和截图，多半是只跑了日志那一半，值不值得做整套动作，答案就清楚了。
要不要做，看手上有没有第二半证据
判断标准不复杂。看你手上有没有服务器那一半的证据。有人上机逐条核过、把落地结论写清楚了，就不必重复整套，抽几条复算即可。只有日志统计、只有攻击条数和占比、没人碰过服务器，那就值得做一次，把门到底开没开这件事补上。费时费力的从来不是跑日志，是上机逐条定性，这一步没人替你做完，整套动作就有意义。
什么时候不必这么做
只有后台发文权限、登不了服务器的团队，做到看日志那一半就该停，硬凑一个无入侵的结论没意义。纯静态站没有脚本执行入口，返回 200 的脚本请求本就不存在，动作大幅收窄。报告已经给出逐条落地核查、结论清楚的，抽查几条复算就够。还有一种是验收标准落在以后再不会被攻击，这套动作给不了，它回答的是过去这段时间有没有被破门，不是给未来打包票。
三个问题问完，你大概已经知道手上这份报告该不该再往下挖。真要动手，先看日志分布、再挑高危事件上服务器实勘、最后回写结论，这四步在安全回溯双核查，技术文档版里拆成了可照做的动作，附了检查清单和几个容易塌的地方，顺着核一遍就行。