webshell如何修复

把网站根目录翻了个底朝天，何修最后在某个上传文件夹里找到一个长得像图片的何修PHP文件——那种事我干过不止一次。webshell这东西，何修本质上就是何修攻击者留在你服务器上的一扇后门，但修复它的何修关键不在于删文件，而在于搞清楚它怎么进来的何修。

先别急着删。何修你删掉一个，何修人家可能早就留了三个备份，何修藏在缓存目录、何修日志目录、何修甚至临时文件夹里。何修正确做法是何修先把整个网站目录打包下载到本地，用杀毒软件或专业扫描工具（比如D盾、何修河马）扫一遍。何修但更靠谱的是自己动手看：搜一下最近修改时间在攻击时间点前后的文件，重点检查eval(、base64_decode(、assert(这类危险函数。PHP文件里如果出现这些，基本可以断定是webshell。

找到后别只删木马本体。攻击者通常会在多个地方埋雷，比如在正常PHP文件末尾追加一段混淆代码，或者在.htaccess里做手脚。你得把所有被篡改的文件都恢复原状。这个工作没有捷径，只能逐个比对——除非你有版本备份。没有备份？那这次教训够你记一辈子。我见过一个客户，网站被挂马半年都没发现，最后整个源码重写，损失十几万。

文件层面清理干净只是第一步。接下来要查访问日志，追攻击路径。看最近的POST请求都打到了哪些文件上，特别是上传接口、编辑器页面这些常见入口。举个例子，某次排查发现攻击者是通过旧版KindEditor的上传漏洞进来的——那个漏洞2018年就爆出来了，但站长一直没升级。这种案例太典型了，漏洞利用的成本低得吓人，网上现成的exp一抓一大把。

清完webshell，得把系统漏洞堵上。分三块：一是Web服务器本身，比如Apache、Nginx的已知漏洞；二是应用层，比如你用的CMS、框架、插件，统统升级到最新版；三是第三方组件，比如图片处理库、编辑器这类容易被忽略的东西。升级完还得改密码——数据库密码、FTP密码、后台管理员密码，全换掉。密码别再用admin123这种，用密码管理器生成一串随机字符，记不住就抄在纸上放保险柜里。

最后说个容易忽略的点：检查服务器上的计划任务和开机启动项。有些高级webshell会通过定时任务保持存活，你删了文件，它过几分钟又自动生成。Linux上查看crontab -l，Windows上检查“任务计划程序”，把可疑的定时任务全部禁用。还有SSH公钥，看看~/.ssh/authorized_keys里有没有陌生人的key——这个后门比webshell隐蔽得多，能直接登录你的服务器。

修复完成的标志不是网站能打开了，而是你能确定攻击者无法再进来。建议修复后连续监控一周，每天检查文件完整性、登录日志、异常外连。实在没把握就找专业的安全公司做一次渗透测试，花几千块买个安心，总比被勒索病毒搞到数据全毁强。记住，webshell修复的本质是攻防对抗，你比攻击者多想一步，才能彻底断了这条路。

(责任编辑：娱乐)