凌晨两点，网站朋友老周发来一条消息：“我的木马站被挂马了，首页全是线检赌博广告，百度快照都红了。网站”我打开他的木马网站，源代码里藏着一行加密JS，线检解码后是网站一段iframe，指向一个俄罗斯IP。木马这已经是线检这个月第三次了。

网站木马检测，网站说白了就是木马给服务器做体检。但很多人有个误区——以为装了安全狗、线检云锁就万事大吉。网站实际上，木马木马检测的线检核心不是“装了什么”，而是“看了什么”。你得知道攻击者把脏东西藏在哪儿。

最常见的藏身处是图片文件里。把PHP代码塞进JPG的EXIF信息，或者用十六进制编辑器在PNG末尾追加一段恶意代码。服务器解析时，如果配置不当，这些“图片”就会被当成脚本执行。检测时别光看文件后缀，要检查文件头尾是否匹配。

另一个重灾区是数据库字段。攻击者把木马拆成几段，分别藏在文章标题、用户昵称、甚至评论区的隐藏字段里。等到某个特定条件触发，再拼接成完整代码执行。这种木马最阴险，因为静态扫描根本查不出来，你得动态模拟请求才能发现异常。

我自己的检测习惯很简单。每周用命令行工具跑一遍find命令，找出最近7天内被修改的PHP文件，逐一查看内容。再配合日志分析，看有没有可疑的POST请求——比如有人往upload目录传了一个带两个扩展名的文件。

有一次，我在一个客户的服务器上发现木马藏在/tmp目录里，文件名是“cache_2019.php”。乍一看像缓存文件，但打开发现是一段加密的base64代码。解密后是个后门程序，能执行任意系统命令。服务器已经被控制了三个月，客户居然毫无察觉。

所以检测工具很重要，但更重要的是检测频率。木马就像蟑螂，你看到一只，说明暗处已经有一窝了。我见过太多网站被挂马后，站长只是删掉首页的恶意链接就完事，结果第二天又被挂上。因为后门还在，删掉的只是表象。

有个土办法很有效——对比官方源文件。把WordPress或ThinkPHP的原始安装包下载下来，用diff命令对比服务器上的文件。凡是多出来的文件、修改过的文件，一眼就能看出来。这个方法笨，但可靠。我靠它抓过不少“免杀”木马。

再提醒一句，检测别只盯着Web目录。计划任务、开机启动项、甚至SSH的authorized_keys文件都可能被植入后门。攻击者拿到服务器权限后，做的第一件事就是留后路，方便下次进来。

最后说个真事。去年有个电商客户，网站被挂马后，数据被拖走，几万条用户信息泄露。事后分析发现，木马在一个不起眼的插件目录里躺了半年，每天凌晨3点定时向外发送数据包。检测报告显示，那个文件在第一次扫描时就被标记为“可疑”，但当时判定为误报，没有人工复核。

所以，工具给出结果后，一定要人工看一遍。机器会漏报，也会误报。真正靠谱的检测，是工具加人脑，再加一点耐心。别嫌麻烦，被挂马后的清理成本，比检测成本高十倍不止。