网警怎么发现浏览不良网站的人

去年秋天，网警网站我陪一个做运维的发现朋友值夜班。凌晨两点，浏览他盯着防火墙日志突然笑了一声，不良说“又逮到一个”。网警网站屏幕上是发现一串IP地址，对应着某个三线城市的浏览宽带用户，过去三小时内访问了十七次境外色情站点。不良他说这人大概率不知道，网警网站自己每次点开那些弹窗广告时，发现网警那边的浏览流量分析系统已经给他画了像。

很多人以为浏览不良网站是不良“私事”，只要不传播就没事。网警网站这个想法在技术层面站不住脚。发现网警发现这类行为，浏览靠的不是挨家挨户查水表，而是三层过滤网。

最底层是运营商级别的流量镜像。你打开一个网页，数据包从你家路由器出发，经过小区交换机、街道机房、区级骨干节点，最后才到目标服务器。这个过程里，运营商的深度包检测设备会同步复制一份流量，提取HTTP请求里的Host字段和URL路径。如果路径里出现明显的成人站点特征词，比如“porn”“xxx”“adult”这类，系统自动打标签。别以为改DNS或者用HTTPS就安全，SNI字段在TLS握手阶段是明文的，照样能识别出你访问的域名。

第二层是网警自己的主动扫描系统。他们手里有一份不断更新的黑名单，里面是境内可访问的涉黄、涉赌、涉诈站点。这些站点有些是境外服务器，有些是境内小机房托管的。网警会定期爬取这些站点的页面特征，比如特定的JS脚本、图片哈希值、甚至页面标题的固定格式。一旦某个IP地址在短时间内反复请求这些特征资源，系统就会把它列入“重点关注对象”。我朋友说，他们系统里有个阈值：单日访问同一不良站点超过五次，或者单周访问不同不良站点超过二十次，就会触发人工复核。

第三层最隐蔽，也最容易被忽略——浏览器指纹和Cookie同步。很多不良网站会嵌入第三方统计代码，比如某些广告联盟的脚本。这些脚本会记录你的屏幕分辨率、时区、安装的字体列表、甚至显卡型号，生成一个唯一标识。网警如果拿到了这些站点的后台数据，就能反向匹配出访问者的真实身份。前年江苏破获的那起跨境传播淫秽物品案，就是通过一个广告联盟的数据库，锁定了三万多个频繁访问者的手机号和宽带账号。

那普通浏览会不会被上门？概率极低。网警的精力有限，他们盯的是有传播行为、有交易行为、或者访问量异常高的人。你偶尔点进去看一眼，系统可能连标签都不打。但如果你每天固定时间访问，还注册了账号、上传了内容、或者用同一台设备反复切换VPN，那就不一样了。我朋友说，他们内部有个词叫“活跃度画像”，访问频率、停留时长、是否互动，三个维度一叠加，系统自动生成优先级列表。

技术上讲，没有真正的“匿名浏览”。你以为清除了历史记录、用了无痕模式，但运营商那边有日志，网警那边有镜像，网站那边有指纹。区别只在于，他们想不想查你。所以别抱侥幸心理，更别觉得“看看没事”。真到了被传唤的那天，你手机里删掉的东西，服务器上全都有。