Webshell是攻击者入侵服务器后最常留下的后门程序，它以网页文件的形式存在于网站目录中，攻击者可以随时通过浏览器连接它，执行任意命令、读取数据库、上传下载文件。对于Linux服务器来说，一旦被植入Webshell，往往意味着整台服务器已经失守。本文将以D盾和河马（HPSCAN）两款工具为例，讲解如何系统化地排查和清除Linux服务器上的Webshell后门。
一、如何判断服务器是否被植入Webshell
在动手查杀之前，先要学会识别感染迹象。Webshell运行时通常会留下一些可观察的异常现象，最常见的是网站流量异常，比如服务器出口流量在深夜时段突然增大，或者出现了大量陌生的外部请求。
其次可以关注系统资源变化。如果CPU或内存占用长时间居高不下，而通过top命令查看却发现没有明显的合法进程消耗资源，就要怀疑是否存在Webshell在执行挖矿、发包等任务。此外，网站目录中出现陌生的文件也是重要信号，比如最近修改时间异常的PHP文件、大小写混乱的随机文件名，或者藏在上传目录深处的图片格式文件。
另一个实用技巧是检查Web日志。通过分析Nginx或Apache的访问日志，查找访问频率异常、URI中带有eval、assert、cmd等敏感关键字的POST请求，基本可以定位到Webshell的具体路径。
二、使用D盾查杀Webshell
D盾是一款由国内安全开发者制作的经典查杀工具，虽然它本身是Windows程序，但它扫描的文件与平台无关，因此非常适合用来排查从Linux服务器打包下来的网站源码。实际操作流程是：先在Linux服务器上执行命令将网站目录打包，例如执行tar -czf /tmp/web.tar.gz /var/www/html，然后把压缩包下载到本地Windows电脑解压，再用D盾进行扫描。
D盾的使用非常简单，打开程序后点击路径按钮选择网站根目录，然后点击扫描即可。扫描结束后会按危险等级列出可疑文件，通常分为可疑、恶意、严重等级别。对于PHP文件，D盾的引擎会重点检测eval、assert、system、shell_exec等危险函数的调用特征，同时也能识别加密混淆、变量函数调用等变形手法。
需要注意的是，D盾存在一定误报率，一些正规的框架代码（如ThinkPHP、Laravel的核心文件）可能被标记为可疑。判断时可以打开文件查看具体内容：真正的Webshell往往代码量少、逻辑简单、包含接收外部参数并执行的功能；而框架文件虽然复杂但结构规范。确认是后门的文件要记录完整路径，再回到Linux服务器上对应位置进行处置。
三、使用河马查杀工具扫描Linux服务器
河马（HPSCAN）是另一款流行的Webshell查杀工具，它提供了Linux版本，可以直接在服务器上运行，这是它相比D盾的最大优势，省去了打包下载的繁琐步骤。使用时先从河马官网下载对应系统位数的客户端，例如执行wget命令下载压缩包，解压后会得到可执行文件。
给文件添加执行权限后，直接运行扫描命令即可，例如./hm scan /var/www/html，工具会递归扫描整个目录树，并输出每个可疑文件的路径、威胁类型和置信度。河马的云端检测引擎对国内常见的变种Webshell识别率较高，对一句话木马、过狗一句话、加密大马等类型都有较好的检出效果。
扫描完成后，建议重点关注置信度高的文件。对于不能确定的文件，可以用md5sum记录特征，再结合文件修改时间和日志记录交叉验证。需要注意的是，河马联网版本会把文件特征上传云端比对，如果业务涉及敏感数据，建议评估后再使用，或选择离线版本。
四、Webshell查杀结果对比与处置流程
实际工作中建议两款工具结合使用，D盾和河马的检测引擎各有侧重，交叉扫描可以显著提高检出率。下面是两款工具的简单对比：
| 对比项 | D盾 | 河马 |
|---|---|---|
| 运行平台 | Windows | Windows/Linux |
| 使用方式 | 需下载源码到本地 | 可直接在服务器扫描 |
| 检测能力 | 危险函数特征强 | 云端引擎，变种识别好 |
| 误报情况 | 框架文件易误报 | 相对较低 |
确认后门文件后，不要急着直接删除。正确的处置顺序是：先把可疑文件备份到隔离目录保存证据，然后检查同目录下是否有关联文件，再彻底删除后门。删除之后必须排查入侵原因，常见入口包括过时的CMS漏洞、弱口令、有漏洞的上传组件等。如果只删后门不修漏洞，攻击者很快会再次植入新的Webshell。
同时要检查系统层面是否被进一步渗透，例如查看/etc/passwd是否有陌生账户、crontab中是否有可疑定时任务、SSH授权文件是否被篡改。如果条件允许，最稳妥的方案是在备份干净数据后重装系统，再恢复业务。
五、日常防护建议
查杀只是应急手段，防止再次被植入才是长久之计。首先要保持网站程序和所有插件、组件更新到最新版本，尤其是WordPress、ThinkPHP等热门程序，历史漏洞的公开利用代码非常多。
其次要控制文件权限，网站运行账户不应拥有不必要的写权限，上传目录可以禁止执行PHP脚本。配合定期备份和文件完整性监控，例如用脚本每天比对关键目录的文件哈希，一旦发现新增或修改的可疑文件就能第一时间告警。再配合WAF或ModSecurity等防护层拦截攻击请求，服务器的整体安全性会大幅提升。
最后建议开启系统操作审计，保留足够的日志周期。一旦再次发生入侵，完整的日志能帮助你快速还原攻击路径，从根源上堵住漏洞，避免陷入反复查杀、反复中招的恶性循环。
Webshell查杀Linux服务器安全D盾使用教程修改时间：2026-09-01 19:36:34