日志里大量 404：扫描器与坏链的区分

发布时间:2026-02-15 19:48

## 概念 访问日志里冒出成片 404，第一反应往往是站内有坏链需要修。但同样一批 404，来源可能截然不同：一是扫描器在批量探测常见漏洞路径，二是真实的坏链在困扰用户。两类问题的处理方式完全相反，前者要忽略与封堵，后者要尽快修复，混为一谈会让工作量与优先级全部错位。 ## 原理：按路径与来源分类 区分的方法是给 404 做画像。看路径：扫描器的路径特征鲜明，探测后台、备份文件、配置文件、环境变量文件的常见命名，与站点真实结构毫无关系；坏链则集中在真实存在的页面周边，图片、样式、跳转目标这类业务路径。看来源：扫描器常来自固定网段，高频连续请求，用脚本循环的节奏；坏链的来源分散，随真实访问出现。看引荐：坏链往往有引荐页可追，顺着引荐页能找到引用错误地址的源头页面；扫描器没有引荐，凭空出现。把一段时间的 404 按这三个维度分组，两类各自的占比与形态清清楚楚。 ## 最小实操 ``` awk '$9==404 {print $1}' access.log | sort | uniq -c | sort -rn | head ``` 按来源统计 404 次数，头部高频来源基本是扫描器。再按路径聚合一次，业务路径集中出现在结果里，就是真坏链的候选清单。 ## 常见错误 一是见 404 就修，把扫描路径也当坏链处理，白白制造重定向与维护负担；二是对扫描流量不做限速，日志被刷大、带宽被消耗；三是把扫描器的高频请求误判为攻击高峰，触发不必要的应急响应；四是统计口径混在一起向上汇报，让决策层以为站点质量问题严重，实际七成是外部噪声。坏链修复后观察一周，该路径的 404 归零即确认；扫描路径在防火墙规则里直接封禁来源或限速，日志里安静下来就是效果。顺云云服务器对外开放 Web 服务，这类噪声是常态，分类处置的思路比逐条追查省力得多。