真实木马入口常伪装成备份文件、配置文件或混入模板目录，需用命令筛选高危小php文件并检查内容、日志、数据库及.user.ini；php配置必须收紧并重启服务，辅以d盾扫描和目录权限限制。

怎么快速定位真实木马入口，而不是删错文件

挂马后最常犯的错误，是看到 1.php 或 shell.php 就直接删——但攻击者早把控制权藏在数据库、.user.ini 或定时任务里，删了也白删。

真实入口往往伪装成正常文件：比如 /www/wwwroot/your-site.com/cache/index.php.bak、/upload/wp-config.php（内容却是 eval(base64_decode(...))），或者混进 /templates/、/var/ 这类目录中。

• 用这条命令筛出高危小文件：find /www/wwwroot -name "*.php" -type f -size -50k -exec grep -l "eval\|base64_decode\|gzinflate\|file_get_contents.*http" {} \; 2>/dev/null
• 发现可疑文件后，别只看名字，用 head -n 20 文件路径 查开头几十行——解密逻辑通常就藏在这儿
• 重点盯 access.log 中对这些文件的 POST 请求，时间点常和你登录异常或密码被改吻合

为什么清理完还要查数据库和 .user.ini

很多木马根本不落地，而是靠“无文件”方式存活：恶意 JS 注入到数据库的 content 字段、模板字段，或者靠篡改 .user.ini 绕过 open_basedir 限制。

• 导出数据库 SQL，用文本编辑器全局搜：<script></script>、iframe src=、document.write、eval(
• 检查每个站点根目录下的 .user.ini：正常应含 open_basedir=/www/wwwroot/xxx:/tmp/:/proc/；若为空、或写成 /，就是已被篡改
• 宝塔界面里「网站 → 设置 → 网站目录」必须勾选「禁止访问 .user.ini 文件」，否则攻击者上传新 .user.ini 就能覆盖所有限制

PHP 配置不收紧，等于给木马留钥匙

宝塔默认 PHP 7.4+ 的 disable_functions 是空的，allow_url_fopen 默认开，open_basedir 很多站点根本没设——这些全是木马复活的快捷通道。

• 进「软件商店 → PHP → 设置 → 配置修改」，填满：disable_functions = system,exec,passthru,shell_exec,proc_open,popen,assert,call_user_func,pcntl_exec
• 关掉远程加载：allow_url_fopen = Off 和 allow_url_include = Off
• open_basedir 必须设为站点专属路径，例如：/www/wwwroot/your-site.com:/tmp/:/proc/
• 改完一定要点「服务 → 重启」对应 PHP 版本，否则配置完全不生效

用 D盾 + 文件对比做最后一道验证

人工排查容易漏，尤其当木马改名成 icon.png.php 或混在压缩包里时。D盾这类工具能识别混淆、加密、无扩展名的 Webshell，比肉眼靠谱得多。

• 在宝塔里打包整个站点，下载到本地，用 D盾Web查杀 扫一遍（免费版足够用）
• 如果有原始部署包或 Git 历史，用 diff -r 或 VS Code 的「Compare Folders」功能对比文件差异，重点关注 /cache/、/upload/、/templates/ 下新增或修改过的 PHP 文件
• 扫完删完，立刻禁用非必要目录的 PHP 执行：在 Nginx 配置里加 location ~ \.php$ { deny all; } 到 /caches/、/templates/ 等静态目录下

权限和日志才是关键证据，不是删了几个文件就安全了；.user.ini 被改、php.ini 没重启、open_basedir 没配对——这些细节一漏，木马三天内就能回来。