宝塔防火墙的 Webshell 查杀采用 “静态特征扫描 + 动态流量行为分析” 的双层机制

宝塔防火墙的 Webshell 查杀采用 “静态特征扫描 + 动态流量行为分析” 的双层机制，与单纯的目录扫描工具不同，它能够从实际访问流量中捕获木马连接器的行为特征。

一、静态查杀（主动扫描）

操作路径：网站防火墙 → Webshell 查杀 → 选择站点 → 点击扫描。

静态查杀基于本地规则库对 PHP 文件进行特征匹配，重点关注文件体积较小（通常 <50KB）且包含 eval、base64_decode、gzinflate 等敏感函数的文件。扫描结果会标记疑似木马文件，可联动宝塔内置检测引擎或百度 Webdir+ 等第三方扫描服务进行二次确认。

局限性：静态扫描对深度混淆、分段加载、无特征的 Webshell 基本无效，且不分析数据库注入的 JS 代码或 .user.ini 配置篡改。扫描结果中标记为“低危”的条目可能是正常的加密配置或合法压缩函数调用，需人工复核后再决定是否删除。

二、动态查杀（流量行为分析）

核心机制：开启后，防火墙会对访问的 PHP 文件进行记录，并通过计划任务进行查杀。其原理是从流量中分析木马或连接器的行为特征——当一个 PHP 文件被以 Webshell 方式访问（如通过 POST 传递加密参数、连接菜刀/冰蝎类工具）时，该文件会被动态捕获并列入可疑列表。

实际效果：有用户测试上传大马后访问连接器，防火墙立即触发拦截，刷新后该 PHP 文件即出现在动态查杀列表中，官方称“能出现在这个列表中的 PHP 文件，百分之九十为 Webshell”。

与静态查杀的区别：静态查杀是“看文件内容像不像木马”，动态查杀是“看它被访问时像不像木马行为”。两者互补，动态查杀能覆盖静态扫描漏掉的混淆型 Webshell。

三、误报处理与注意事项

误报场景：部分 CMS 或框架的合法文件会因包含 eval 等函数被误判。有用户反馈微擎网站在开启 Webshell 查杀后无法访问，官方建议在防火墙拦截记录中点击“误报”即可放行。

误报提交：如需反馈误报，可在计划任务中获取对应文件的 hash 值，提交给宝塔官方。

查杀记录位置：扫描结果在面板安全日志或防火墙日志中查看，无威胁时不会产生日志。

规则库位置：/www/server/panel/data/btwaf_webshell 目录下存放的是历史 Webshell 样本规则文件，并非入侵痕迹，可安全删除。safeCloud/rules/webshells/ 下的 .yar 文件是扫描引擎规则库，不是木马，忽略即可。

四、补充建议

宝塔“一键查杀”仅基于特征匹配，无法识别所有高级威胁。建议配合以下措施形成纵深防御：

• 目录隔离：在 Nginx 配置中限制 /upload/、/cache/ 等可写目录禁止执行 PHP

• 函数禁用：在 PHP 配置中补充 disable_functions，禁用 system、exec、shell_exec、passthru、proc_open 等高危函数

• 配合专用工具：可同时使用宝塔木马查杀工具、微步木马检测等插件进行交叉验证

• 定期手动扫描：重点扫描 upload/、cache/、data/ 等攻击者偏好投放木马的目录