可借助宝塔官方“网站安全防护”插件进行源码木马扫描：一、安装启用插件；二、选择站点目录执行深度扫描；三、导入自定义YARA或正则规则；四、查看高危文件并隔离；五、导出JSON/TXT报告并批量处理。

如果您在宝塔面板中托管了网站，但怀疑源代码已被植入恶意脚本或后门程序，则可借助宝塔官方提供的安全类插件进行木马特征匹配与可疑文件识别。以下是利用宝塔插件开展源码安全扫描的具体操作路径：

一、安装并启用“网站安全防护”插件

该插件由宝塔官方开发，内置常见WebShell特征库与PHP/ASP/JSP等脚本语言的高危函数调用规则，支持对指定站点目录进行递归式静态扫描。

1、登录宝塔面板后台，点击左侧菜单栏的软件商店。

2、在搜索框中输入网站安全防护，找到对应插件后点击安装按钮。

3、安装完成后，返回首页点击网站安全防护图标进入插件管理界面。

4、点击启用防护开关，并确保木马查杀功能处于开启状态。

二、执行全站源码木马扫描

扫描过程基于文件内容哈希比对与正则模式匹配，覆盖所有PHP、HTML、JS、CSS及模板类文件，不依赖运行时行为分析，适用于已下线或未访问的静态源码包。

1、在“网站安全防护”插件主界面，点击木马查杀选项卡。

2、从下拉菜单中选择需检测的目标站点根目录（如/www/wwwroot/example.com）。

3、勾选深度扫描（含隐藏文件与备份文件）选项。

4、点击开始扫描按钮，等待进度条完成。

三、手动导入自定义木马特征规则

当标准规则库未能识别新型混淆型WebShell时，可通过导入第三方YARA规则或正则表达式扩展检测能力，提升对base64_decode、gzinflate、str_rot13等组合解密手法的捕获率。

1、准备UTF-8编码的规则文本文件，每行一条正则表达式，例如：/eval\(.*base64_decode\(/i。

2、进入插件设置页，点击高级设置 → 自定义规则导入。

3、点击选择文件上传本地规则文本，确认格式无误后点击立即导入。

4、导入成功后，在木马查杀任务中启用使用自定义规则复选框。

四、查看并定位疑似木马文件

扫描结果按风险等级分类呈现，高危项默认标记为红色，包含文件路径、匹配行号、原始匹配片段及置信度评分，便于人工复核与上下文分析。

1、扫描结束后，点击查看结果进入详情页。

2、在列表中筛选高危或中危条目，逐条查看匹配内容。

3、点击某条记录右侧的查看文件按钮，面板将直接打开该文件并在匹配行高亮显示。

4、对确认为恶意代码的文件，可点击隔离按钮将其移至隔离区目录，避免误删可先执行此操作。

五、导出扫描报告并批量处理异常文件

导出功能生成结构化JSON与纯文本双格式报告，包含文件名、大小、最后修改时间、匹配规则ID及原始代码快照，适用于合规审计或协同排查场景。

1、在结果页点击导出报告按钮，选择JSON格式或TXT格式。

2、下载完成后，使用文本编辑器打开，搜索关键字"risk_level":"high"快速定位全部高危项。

3、在插件结果页勾选多个异常文件，点击批量操作 → 删除或隔离。