2026 年 8 月16日，笔者在处置一起服务器入侵事件时，发现攻击者通过篡改宝塔面板 nginx 全局配置（16 个 `enable-php-*.conf`）注入 `sub_filter` 恶意指令，对全站实施"仅移动端 + 搜索引擎来源 + 中国时区"的精准流量劫持。沿恶意 JS 的 C2 基础设施逐层追踪，最终挖出一个**集"蜘蛛池软件销售 + 网站流量劫持服务"于一体的黑产 SEO 团伙*