Wordfence免费版拦住80%常见攻击但防火墙规则比付费版晚30天更新：Sucuri在线扫描不装任何东西但只扫首页不扫内页，D盾和河马查杀对PHP一句话木马检出率超95%，网站挂马检测免费和付费差的是发现能不能清掉

Wordfence免费版足够拦住80%的常见攻击但防火墙规则比付费版晚30天更新、Sucuri SiteCheck在线扫描不用装任何东西但只扫首页不扫内页和数据库、VirusTotal聚合了70+杀毒引擎但扫描结果只能告诉你"有"或"没有"不能帮你清理、D盾和河马查杀对PHP一句话木马的检出率超过95%但需要下载源码到本地逐文件扫描、MalCare一键清理的速度比Sucuri人工工单快但本身不带WAF等于只治病不防病。网站挂马检测这件事，免费和付费之间差的不是功能多少，是"发现了能不能清掉"和"清了之后会不会再来一次"

一、网站被挂马之后，第一件事不是找工具扫描，是确认你到底被挂了几层

很多人发现网站被挂马，第一反应是找个在线工具扫一下URL。扫出来三个引擎报警，觉得"就这点事"，删掉首页里那段可疑的JS代码就以为搞定了。结果三天后又被挂上了，而且这次Google直接标红"此网站可能已遭入侵"，流量从日均2000掉到两位数。

因为挂马不是只挂在首页源代码里。真正完整的挂马可能同时藏在四个地方：

这就是为什么只用在线工具扫一下URL就收工的人，大概率会遭遇"反复感染"。在线工具只看到第一层，后三层完全碰不到。

二、十款挂马检测工具能力边界一览

三、免费在线扫描三件套：快但浅，只扫第一层

Sucuri SiteCheck 是目前最常用的免费在线扫描工具，输入URL直接出结果：有没有恶意软件、有没有被列入黑名单、有没有可疑的iframe或外链跳转。核心优势是不需要装任何东西、不需要登录服务器，外部视角看你的网站长什么样。

但它的致命限制是：只扫你输入的那个URL页面本身，不爬内页，不碰服务器文件系统，不看数据库。 如果一个webshell藏在 /wp-content/uploads/2024/06/config.php，SiteCheck永远扫不到它。还有大量挂马代码做了"来源判断"——只有从Google搜索结果点进来的用户才跳转菠菜站，直接访问URL看不到任何异常。这种情况下SiteCheck扫出来是"干净"的，但你的SEO流量正在被大量劫持。

VirusTotal 聚合了70多个杀毒引擎的结果，能快速告诉你某个URL或文件在各大安全厂商那里是否被标记。适合用来验证一个可疑的外链地址、一个从服务器上找到的陌生.php文件。但它只告诉你"有没有"，不帮你清。

360网站安全检测 在国内环境下有独特优势——它的云端监控能发现页面篡改、暗链、博彩跳转，而且是7×24小时持续监控而不是一次性扫描。免费版可以监控1个站点，付费版扩展更多。如果你做的是面向国内用户的网站，360的恶意网址库比Sucuri更贴近国内黑产的实际手法。

四、Wordfence vs MalCare vs Sucuri付费版：三种完全不同的安全哲学

这三款是WordPress挂马防护领域被讨论最多的工具，但它们背后的防护逻辑完全不一样，放一起直接比功能表很容易选错。

这三款怎么选其实很清晰：

· 零预算 + 个人博客：Wordfence免费版就够了。免费版已经有完整的防火墙、恶意软件扫描、登录安全、文件完整性监控。唯一的代价是防火墙规则晚30天——对于不处理支付和敏感数据的个人站，这个延迟可以接受。

· 需要深度检测 + 一键清理：MalCare $99/年。它的云端AI行为分析引擎在独立测试中的检出率是最高的，能识别传统签名库扫不出的混淆恶意代码。一键清理功能对不懂技术的站长极其友好。但注意：MalCare不带WAF，你必须另外配Cloudflare免费版或Sucuri做前端防护。

· 电商站/高价值站：Sucuri Platform $199/年。多出来的$100买的是：云端WAF在攻击流量到达服务器之前就拦截（Wordfence做不到）、插件漏洞被发现后数小时内就能在WAF层打虚拟补丁（Wordfence做不到）、Anycast CDN加速+DDoS缓解（两者都做不到）、无限次人工清理。一个日均订单20+的WooCommerce站，挂马一天的损失远超$199。

五、D盾和河马查杀：不要钱的深度扫描，但要你自己动手

如果你用的不是WordPress，或者想从服务器文件系统层面做一次彻底排查，D盾和河马是两款绕不开的免费工具。

D盾_Web查杀 是Windows平台上的本地扫描工具，需要把网站源码下载到本地，用D盾逐文件扫描。它的启发式引擎对PHP一句话木马（比如 @eval($_POST['cmd']) 这类）的检出率极高，而且能识别经过混淆和加密的变种。适合在已经被挂马、需要全面排查所有文件的情况下使用。

河马查杀（SHELLPUB） 是微步在线出品的免费工具，支持在线URL扫描和本地源码扫描两种模式。核心优势是云端特征库更新非常快，而且能检测内存马——一种不落盘、只在进程内存中运行的webshell，传统文件扫描完全发现不了。

两者的共同短板：只检测不清理。扫出来100个可疑文件，你得自己判断哪些是真后门、哪些是误报，然后手动删除。删错了可能把正常功能搞崩，删漏了后门还在。

六、五个翻车到想关站的真实场景

七、按场景选型速查

八、清完挂马之后，这三件事比装什么工具都重要

· 关掉上传目录的PHP执行权限。 这是反复感染的头号原因。在Nginx里给 /wp-content/uploads/ 加一条 location ~ \.php$ { deny all; }，Apache里用 .htaccess 禁止。上传目录是黑客传webshell的第一入口，关掉执行权限，传进来也是废文件。

· 改完密码之后还要检查数据库用户表。 不要只改FTP和后台密码——进数据库查 wp_users 表，看有没有你不认识的管理员账号，看现有用户的邮箱有没有被改成陌生地址。黑客最喜欢创建 wp_support、admin_helper 这类看似合法的用户名。

· 恢复干净之后第一时间去Google Search Console提交审核。 "安全问题"页面 → 勾选"我已修复这些问题" → 申请审核。Google通常24-72小时内重新扫描并解除警告。不主动提交审核，Google可能要等几周甚至更久才会重新爬取并自动解除。