宝塔自带木马扫描插件基本无效，因其仅做简单关键词匹配，无法识别base64多层嵌套、异或混淆、字符串拼接绕过及无文件内存加载等高级手法，且不查access.log、不验.user.ini、不分析数据库字段、不验证disable_functions是否生效。
宝塔自带的木马扫描插件为什么基本没用
它只做简单关键词匹配，对 base64 多层嵌套、异或混淆、字符串拼接绕过（比如 base64_'decode'）、无文件内存加载等手法完全失效。扫描结果里标“安全”的目录，往往藏着 index.php.bak 或 cache.php 这类伪装文件，内容却是 eval(base64_decode(...))。
别依赖扫描结果清干净了——它连最基础的落地木马都漏掉一半。
- 插件不读
access.log，无法关联攻击时间与可疑请求 - 不检查
.user.ini是否被篡改，而这是 PHP 配置劫持的主通道 - 不分析数据库字段，漏掉通过
post_content注入的恶意 JS - 不验证
disable_functions实际是否生效，重启 PHP 服务前配置等于白设
用 find 命令快速筛出真实木马文件
攻击者不会起名 shell.php，而是塞进 /upload/、/cache/、/images/ 这些可写目录，文件名像 wp-config.php（但内容是解密逻辑）或 index.php.swp。
执行这行命令定位高危小文件：
find /www/wwwroot -name "*.php" -type f -size -50k -exec grep -l "eval\|base64_decode\|gzinflate\|file_get_contents.*http" {} \; 2>/dev/null
发现结果后，别只看文件名，用 head -n 20 /path/to/file.php 查前 20 行——解密入口和恶意载荷基本都在这儿。
- 加
-size -50k是因为真实木马通常极小，大文件反而是正常业务代码 -
grep -l只输出匹配文件路径，避免刷屏；2>/dev/null屏蔽权限错误干扰 - 如果返回为空，不代表安全，要补查
.js、.html文件里的document.write或iframe src=
必须翻 access.log 找攻击入口时间点
木马上传必然有 HTTP POST 记录，尤其集中在你账号异常登录、密码被改、后台被新建管理员的时间段前后。光删文件不查日志，等于把门锁了却忘了关窗。
进 /www/wwwlogs/your-site.com/access.log，用以下命令快速定位可疑 POST：
grep "POST" /www/wwwlogs/your-site.com/access.log | grep -E "\.(php|jsp|asp|sh)$"
重点看这些字段：
- IP 是否陌生，是否来自代理或 IDC 段
- URI 是否指向
/wp-admin/admin-ajax.php、/index.php?s=、/api/upload这类常见上传接口 - User-Agent 是否含
python-requests、curl、sqlmap等工具特征 - 响应状态码是不是 200（说明上传成功），而不是 403/404
数据库和 .user.ini 是木马隐身区
很多木马根本不落地，靠数据库字段注入 JS 或篡改 .user.ini 动态放开 disable_functions。删完所有 PHP 文件，第二天照样复活。
导出数据库后，用文本编辑器全局搜索：
-
<script>、<code>iframe src=</script>、document.write、eval( - 特别注意
wp_options表的option_value字段、posts表的post_content字段
检查每个站点根目录下的 .user.ini：
- 正常应含类似
open_basedir=/www/wwwroot/your-site.com:/tmp/:/proc/; - 若为空、被删、或写成
open_basedir = /，就是已被篡改 - 进宝塔「网站 → 设置 → 网站目录」，必须勾选「禁止访问 .user.ini 文件」，否则上传新
.user.ini就能覆盖全部限制
PHP 配置不收紧，等于把钥匙插在门上还留着缝——allow_url_fopen = On、disable_functions 空着、open_basedir 没设，木马三分钟就能重新拉起进程。
