网站挂马批量检测工具免费完整方案：9个在线检测工具加3个本地扫描客户端从一分钟快速自检到全站深度查杀，挂马手段已进化到多层编码混淆拆分多文件伪装嵌入图片数据库靠肉眼翻代码不现实

网站挂了马自己很难发现，9个在线检测工具加上3个本地扫描客户端，从一分钟快速自检到全站深度查杀，免费好用的都在这了

网站被挂马这件事，最让人头疼的不是清除恶意代码本身，而是"根本不知道被挂了马"。大部分站长发现网站被黑，要么是用户投诉浏览器报了红色警告页，要么是百度搜索结果显示"该网站可能含有恶意软件"，要么是服务器突然CPU跑满、流量异常飙升。到这个时候，恶意代码可能已经在服务器上躺了几个月了。挂马的手段也在进化。早期的webshell就是一段明文eval($_POST['cmd'])，用grep搜一下关键字就能找到。现在的主流是：多层编码混淆、拆分到多个文件、伪装成正常系统文件、嵌入图片EXIF信息、甚至把恶意代码写到数据库里。靠人眼一条条翻代码已经不现实了。

这篇文章把检测工具分成三层，按紧急程度用：
· 第一层：在线工具（不需要装任何东西，输网址就能扫，适合发现异常时快速确认）
· 第二层：本地扫描客户端（Windows/Linux服务器上批量跑，适合定期全站排查）
· 第三层：命令行脚本（灵活度最高，适合有运维基础的人写定时任务）

一、第一层——在线检测，一分钟确认网站有没有问题

当你发现网站不对劲但不确定是不是挂马，先用在线工具扫一遍。不需要下载安装、不需要服务器权限，浏览器打开输网址就行。

工具	免费	检测内容	批量能力	特点
Sucuri SiteCheck	免费	恶意软件、黑名单、网站错误、过时软件	单站点扫描，不支持批量	最知名、速度快、结果清晰，但深层扫描能力有限
VirusTotal	免费	70+引擎综合检测，URL/域名/文件均可扫	有API，可批量提交URL	Google旗下，覆盖面最广，但每日API有频率限制
Quttera	免费	恶意软件、可疑文件、黑名单、AI检测	单站点扫描	检测深度比Sucuri强，能扫出更多隐藏威胁
河马在线查杀	免费	WebShell、内存马、后门文件	有API接口，支持批量	国内团队，对中文环境下的webshell检测更精准
百度WEBDIR+	免费	WebShell检测，支持PHP/ASP/JSP	支持批量上传检测	百度安全出品，引擎检测能力不错但更新较慢
URLScan.io	免费	页面截图、DOM分析、请求链、恶意指标	有API	不是传统的杀毒引擎，而是行为分析，适合发现跳转挂马
SiteGuarding	有限免费	恶意软件、黑名单、漏洞	单站点	免费版功能受限，付费版才有完整扫描
Awake Security	免费	恶意代码、漏洞、黑名单	单站点	Arbor Networks出品，侧重网络层检测
GeekFlare	免费	恶意软件、SEO垃圾、黑名单	单站点	集成了Google Safe Browsing + 多个黑名单数据库

二、第二层——本地扫描客户端，全站文件逐个过

在线工具扫的是网站对外暴露的页面，本地工具扫的是服务器上所有的源文件。后者才能发现藏在某个深层目录里的webshell、图片马、混淆后门。

D盾——Windows服务器首选，免费且识别率极高

D盾是阿D出品的免费WebShell查杀工具，只支持Windows系统。它的特征库更新频繁，对一句话木马、大马、变种webshell的识别率在免费工具里属于第一梯队。D盾的短板是只支持Windows、不支持Linux服务器、不支持ASP.NET和JSP的深度检测。如果你的服务器是Linux，需要换别的工具。

河马查杀（SHELLPUB）——Linux和Windows通吃

河马是微步在线旗下的免费WebShell检测工具，提供在线版和本地客户端两个版本。本地客户端支持Linux和Windows双平台，检测范围覆盖PHP、JSP、ASP、ASPX等常见Web脚本语言。

WebShellKiller——深信服出品，适合企业环境

深信服的WebShellKiller是另一个免费选择，除了webshell扫描还支持暗链检测。暗链是指攻击者在你的网页里插入肉眼不可见的链接（比如把链接文字颜色设为和背景一样），用来给灰色网站传递权重。这种挂马方式在线工具几乎扫不出来，WebShellKiller专门有针对性的检测规则。

ClamAV + Maldet —— Linux服务器的命令行批量扫描方案

如果你的网站跑在Linux服务器上，而且有SSH权限，命令行工具是最灵活的批量扫描方式。

# 安装ClamAV（开源杀毒引擎）# CentOS/RHELyum install -y clamav clamav-update# Ubuntu/Debianapt install -y clamav clamav-daemon# 更新病毒库freshclam# 扫描网站目录clamscan -r --bell -i /var/www/html# 安装Maldet（Linux Malware Detect，专注webshell检测）wget http://www.rfxn.com/downloads/maldetect-current.tar.gztar -xzf maldetect-current.tar.gzcd maldetect-*./install.sh# 让Maldet调用ClamAV引擎做双重扫描maldet --scan-all /var/www/html# 查看扫描结果（会列出具体文件路径和威胁类型）maldet --report $(maldet --scan-all /var/www/html | tail -1 | grep -oP '\d+')# 隔离所有检测出的恶意文件maldet --quarantine $(maldet --scan-all /var/www/html | tail -1 | grep -oP '\d+')

ClamAV的局限：它是通用杀毒引擎，不是专门检测webshell的。对常规病毒木马效果好，但对高度定制的PHP webshell漏报率较高。所以需要配合Maldet一起用——Maldet专门针对Web后门有特征库，两者互补效果最好。

三、第三层——自己写检测脚本，灵活度最高

如果上面那些工具还不能满足需求（比如你想监控数百个站点、或者想集成到自己的运维平台里），自己写检测脚本是最终方案。

基础版：用find+grep做关键字扫描

#!/bin/bash# 扫描网站目录中常见的webshell关键字WEBROOT="/var/www/html"OUTPUT="/tmp/webshell_scan_$(date +%Y%m%d).log"# 高危函数列表PATTERNS='eval\(|assert\(|system\(|exec\(|shell_exec\(|passthru\(|popen\(|proc_open\(|base64_decode\(|gzinflate\(|str_rot13\(|\\x[0-9a-fA-F]{2}'echo "=== 扫描开始 $(date) ===" > $OUTPUTfind $WEBROOT -type f -name "*.php" -o -name "*.phtml" -o -name "*.php5" | \while read file; doif grep -qP "$PATTERNS" "$file" 2>/dev/null; thenecho "[SUSPICIOUS] $file" >> $OUTPUTgrep -nP "$PATTERNS" "$file" | head -5 >> $OUTPUTecho "---" >> $OUTPUTfidoneecho "=== 扫描完成 $(date) ===" >> $OUTPUT

关键字扫描的致命缺陷：误报率极高。eval()、base64_decode()这些函数在很多正常代码里也会用到（比如模板引擎、加密通信、图片处理）。这种脚本扫出来的"可疑文件"可能有几百个，其中95%都是误报，需要人工逐个排查，实际效率很低。

进阶版：结合文件时间、权限、哈希值做多维判断

只看关键字容易误报，加上文件时间戳和权限信息可以大幅降低误报率。正常网站文件的时间戳集中在建站初期，如果有一个PHP文件的修改时间是凌晨3点，那这个文件不管含不含eval都值得排查。

# 查找最近7天内修改过的PHP文件——这些是最可疑的find /var/www/html -type f -name "*.php" -mtime -7 -ls# 查找权限异常的文件（webshell经常是777）find /var/www/html -type f -name "*.php" -perm 777# 查找隐藏文件（以点开头或名称异常的php文件）find /var/www/html -name ".*.php" -o -name "*.php.*"# 查找最近修改且含eval的文件——双重条件交叉验证find /var/www/html -type f -name "*.php" -mtime -7 -exec grep -l 'eval(' {} \;

专业版：Libra（天秤座）开源平台

如果你管理的不止一个网站，而且需要持续监控而非一次性扫描，Libra是值得部署的开源方案。它是一个Python 3.6+开发的网站安全监测平台，核心功能包括：篡改检测（对比页面内容变化）、暗链检测（基于敏感词规则库）、后门检测（webshell特征匹配）、死链检测。

四、不同场景下的工具搭配方案

你的情况	推荐方案	执行频率
只有一个网站，怀疑被挂马	Sucuri + Quttera + VirusTotal 三重在线验证	发现异常时立即执行
Windows服务器，定期排查	D盾（主查） + 河马（交叉验证）	每周一次全站扫描
Linux服务器，定期排查	河马本地客户端 + Maldet + ClamAV	Maldet每日自动，河马每周手动
多台服务器，统一监控	Libra平台 + 河马API + 自建脚本	定时任务自动化运行
刚被挂马，需要应急排查	D盾/河马快速扫 + find命令查异常文件 + 检查crontab和启动项	立即全量排查，不留死角

五、检测出来之后怎么办

检测只是第一步，更重要的是清除和加固。如果扫出了webshell文件，按以下顺序处理：

一个容易犯的错误：只删除webshell文件就以为安全了。攻击者既然能上传webshell，说明已经拿到了某种程度的服务器权限。只删文件不堵入口，过两天又会被挂上。一定要追溯到入侵途径并堵上漏洞，否则清多少次都没用。

六、日常防护比事后查杀更重要

挂马检测工具是"消防队"，但更好的策略是"不让他着火"。几个低成本的日常防护措施：

· 文件完整性监控：用inotify或Tripwire监控网站目录的文件变更，一旦有PHP文件被新增或修改就发通知。这是发现挂马最快的方式——不是等扫描，而是实时告警。

· 关闭危险函数：在php.ini中禁用exec、system、shell_exec、passthru、popen、proc_open、eval（如果业务允许）、assert等函数。你的网站代码大概率用不到这些函数，但webshell几乎一定会用到。

· 文件上传目录禁止执行脚本：在Nginx/Apache配置中，对uploads、images、attachments等上传目录设置禁止PHP解析。即使攻击者上传了webshell到图片目录，也无法执行。

· 最小权限原则：Web目录的文件权限设成644，目录设成755，不要设777。webshell文件经常因为权限异常（777）而被检测工具识别到。