木马查杀为什么清了又回来？网站常见后门入口盘点

不少网站管理员都有过这样的经历：用安全工具扫出木马，一键清除，网站恢复正常，过几天同样的问题又出现了。查杀、复发、再查杀，循环往复。这不是杀毒工具不行，而是清理的只是"症状"，真正的"病根"——后门入口——还留在服务器上。攻击者留下的后门不清干净，木马随时可以重新种回来。

这篇文章盘点企业网站最常见的几类后门入口，帮你理解为什么木马会反复出现，以及排查时应该按什么顺序去查。

一、最常见：Webshell 文件不止一个

Webshell 是攻击者上传到服务器的一段网页脚本，通过浏览器访问就能远程控制网站。很多人以为木马就是一个文件，扫出来删掉就完了，实际情况是：一次入侵后，攻击者通常会部署不止一个 Webshell——一个用来干活，另外几个藏在深处备用。主后门被你删了，备用后门一激活，木马马上重新落地。

排查方法：全盘搜索最近 30 到 60 天内被修改或新建的脚本文件（php/asp/aspx/jsp）；重点查看 uploads、cache、tmp 等可写目录——正常情况下这些目录不该有任何可执行脚本，出现 .php 文件基本可以判定为后门；用 diff 对比程序官方源码包和线上文件，被改动的文件一目了然。

二、数据库里藏着的马

有些后门不藏在文件里，而是写在数据库中。比如内容管理系统的文章正文、模板设置、自定义字段里被插入了恶意代码，网站每次渲染页面时把这段代码带出来执行。这类后门的特点是：删掉文件里的马，页面还是异常，过段时间又"长"回来——因为源头在数据库，重建缓存或程序更新时又被写回文件。

排查方法：在数据库里搜索可疑关键词，如 ｅｖａｌ、base64_decode、<ｓｃｒｉｐｔ、http 开头的外链域名等；重点检查所有富文本字段的末尾部分，攻击者惯用"正文末尾追加一段编码内容"的方式藏马。

判别这类后门有个规律可循：如果删完文件里的木马后，网站隔了一段时间在完全相同的位置再次出现同样的恶意代码，基本可以断定源头在数据库——是缓存重建或后台保存操作把它从库里又写回了文件。遇到这种情况，别再反复删文件，直接去查数据库对应字段。

三、定时任务与计划脚本

如果服务器权限被拿过（不只是网站被入侵，而是整个服务器或虚拟主机账户），攻击者可能设置了定时任务：每隔几小时从远程地址拉一次木马重新写入。这种情况下不管你删多少次，到了时间点木马准时回来，非常典型。

排查方法：Linux 服务器检查 crontab -l 以及 /etc/cron.* 目录；Windows 服务器检查任务计划程序；虚拟主机用户向服务商确认是否有异常的计划任务进程。

四、还在用的弱口令和泄露密码

后门清得再干净，如果攻击者手里有你的后台密码、FTP 密码或数据库密码，直接登录就能再放一个后门。常见泄露渠道：密码本身太弱被爆破；旧员工电脑里存有密码；用了某个被脱库的第三方系统相同密码；FTP 软件明文保存密码被木马读取。

处理动作：入侵排查期间，把后台、FTP、数据库、服务器 SSH 全部改一遍密码，用 12 位以上字母数字符号组合且互不相同；后台开启验证码或登录二次校验；不确定哪些设备存过密码时，全部当作已泄露处理。

五、程序漏洞没修，等于大门开着

木马当初是怎么进来的？多数是通过程序漏洞：老旧版本的 CMS、长期不更新的插件、上传功能未做类型校验、编辑器漏洞等。漏洞在，后门清掉之后还是会从同一条路再进来。

处理动作：把 CMS 内核、插件、主题全部升级到当前稳定版本；停用并删除不再使用的插件（休眠插件同样是漏洞来源）；如果程序版本过老已无官方更新（比如停更多年的系统），要列入重建或迁移计划。

六、推荐的清理顺序

正确的顺序是：先改全部密码并临时关闭写入权限（或整站只读）→ 全盘排查 Webshell 和数据库恶意代码 → 升级修复程序漏洞 → 恢复写入并观察一周 → 最后做一次完整备份，作为"已知干净版本"留存。顺序反了（先恢复访问再慢慢查），攻击者随时可能重新落马，前面的清理就白做了。

观察期还有一个实用技巧：清理完成后，在关键目录放几个内容唯一、名字随机的"蜜罐"监测文件（比如 cache 目录下一个假的 .php），每次巡检先看这几个文件有没有被重新创建——如果出现，说明后门还没清干净，而且可以从服务器访问日志反查是谁在访问它，进一步定位残留后门的位置。这比等业务页面再次出问题才发现要早得多。

总结

木马清了又回来，本质是只删了症状没断病根。后门文件、数据库藏马、定时任务、弱口令、程序漏洞，五个入口逐个查、逐个堵，才能真正摆脱反复中招的循环。如果缺少技术人手，把这类排查交给专业维护团队按月例行处理，比每次中了再救火划算得多。需要网站安全排查服务，欢迎电话咨询：137-9839-1694。