河马webshell查杀工具最早是河马在2013年左右进入安全圈视野的，那时候大部分站长还在用D盾和百度webshell查杀，查杀河马算是工具后来者。但它的河马检测思路跟前辈们不太一样——不依赖特征库匹配，而是查杀用统计学方法分析文件。这个思路在当时挺新鲜。工具

我头一回用河马是河马2016年，一个朋友的查杀WordPress站被挂了后门。D盾扫出来三个可疑文件，工具删掉之后第二天又冒出来。河马换成河马扫，查杀报告里多出一个/wp-content/uploads/2024/01/class-wp-cache.php，工具文件名伪装成WordPress核心缓存类，河马内容也像模像样。查杀但河马给了个“高危”评级，工具理由是：这个文件里出现了eval和base64_decode的组合调用，且变量命名风格与WordPress官方代码的命名规范存在统计学偏差。朋友半信半疑删了它，后门再没复发。

这就是河马的核心逻辑：它不看你代码里有没有eval——那玩意儿正常程序也可能用——而是看你的代码“像不像”一个webshell。具体怎么判断？河马团队从大量真实webshell样本里提取了几十个特征维度：变量名长度分布、函数调用频率、注释密度、缩进一致性、字符串熵值……把这些维度做成一个评分模型。一个文件得分超过阈值，就报警。

听起来有点玄学，但实际用起来误报率确实比纯特征匹配低。我见过一个正常的分页类文件被D盾标红，因为里面用了assert做参数校验。河马没报——那个文件的变量命名、缩进、注释风格都太“正常”了，统计学上不像恶意代码。

不过河马也不是万能。它有两个明显短板。

一是对混淆严重的webshell识别率会下降。比如用goto跳转打乱控制流、或者把恶意代码拆成几十个小文件互相调用的那种，河马的统计模型容易漏。我测试过一个用str_rot13加goto混淆的样本，河马给了“中危”，D盾直接标红。反过来，一个用create_function写的简单后门，河马秒报，D盾反而没反应——因为D盾的特征库里没收录这个变种。

二是河马对PHP以外的语言支持一般。JSP和ASP的webshell查杀，河马也能做，但准确率明显不如PHP。我拿一个免杀的JSP冰蝎马测试，河马没报，手动看代码才发现问题。

河马还有一个挺实用的功能：文件对比。你可以上传一份“干净”的站点备份，河马会跟当前站点做diff，把新增和修改过的文件单独列出来。这个功能在应急响应时特别省事——一个被入侵的站，往往有几千个文件，你不可能一个个看。先diff，再看改动过的文件，范围一下子缩小到几十个。

但要注意，diff的前提是你有一份干净的备份。很多站长没有。那就只能全量扫描，然后人工排查报警文件。河马的报告会给出每个文件的“可疑度”评分和具体可疑点，比如“第47行：变量$a被用于eval，且该变量在之前10行内由$_POST赋值”。这种细节比单纯标红有用得多。

最后说个实际观察。河马更新频率不算高，特征库和模型大概几个月更新一次。相比之下，D盾的规则更新更勤快。但河马的统计模型有个好处：它不依赖具体特征，所以对全新变种的webshell有一定泛化能力。我试过几个刚出炉的免杀马，D盾没报，河马报了“低危”。虽然评级不高，但至少给了个提示。

用河马的正确姿势是：别把它当唯一防线。跟D盾、百度查杀、甚至手动grep配合着用。每个工具都有盲区，交叉验证才靠谱。另外，别看到“高危”就删文件——先看报告里的具体可疑点，确认是不是误报。我见过有人把WordPress的class-phpass.php删了，就因为河马报了“使用了eval”——那个文件是密码哈希类，确实用了eval，但它是合法的。

工具是死的，判断是活的。河马给的是线索，不是判决书。

(责任编辑：娱乐)