宝塔木马查杀仅能扫描指定路径下文件的静态WebShell特征（如eval、gzinflate等），不覆盖配置文件、数据库、CDN及隐藏文件，需人工比对.user.ini、.htaccess、首页HTML、Nginx配置及数据库/Redis/CDN缓存。
木马查杀工具在宝塔里实际能扫到什么
宝塔自带的「木马查杀」功能（位于安全中心 → 木马查杀）本质是静态规则匹配，不是运行时行为监控。它能识别常见 WebShell 特征，比如
、
、
、
等函数组合，也覆盖混淆后 JS 中的
这类硬编码跳转片段。
但注意：它扫不到 Nginx 配置层注入、.htaccess 重写规则、或数据库字段中存储的 JS 跳转代码——这些不属于「文件内容静态扫描」范围。
必须手动指定网站根目录路径，如
；不填或填错路径会导致漏扫
默认不扫描隐藏文件（如
、
），要勾选「深度扫描」才包含
扫描结果里的「匹配行号」是真实可定位的，点击「查看文件」会直接跳转并高亮，别只看摘要就删文件
为什么查杀完还有恶意跳转？重点比对哪些核心文件
很多跳转问题其实不来自 PHP 文件，而是被篡改的前端或配置层。以下 4 类文件必须人工比对：
：PHP 配置劫持点，常见插入
指向恶意脚本
（Apache）或 Nginx 站点配置中的
块：检查是否有
或
注入 JS
或首页模板文件：搜索
、
、
后接可疑域名
：确认无异常
或
插入 JS 片段
比对方法很简单：用宝塔文件管理器打开对应文件，再开一个干净环境下的同名备份文件（或 Git 历史版本），逐行 Ctrl+F 查关键词，尤其留意末尾空格、不可见字符、注释块里的伪装代码。
宝塔Windows面板8.5.2
宝塔Windows面板8.5.2专为Windows Server设计，提供可视化服务器管理界面。支持一键部署IIS/Nginx、PHP、MySQL等环境，集成文件管理、数据库操作、实时监控及安全防护功能，大幅降低Windows服务器运维门槛，提升管理效率。
下载
ClamAV 和 D盾补位时要注意什么
宝塔内置木马查杀漏掉的混淆型 WebShell，可以靠 ClamAV 或 D盾补充。但它们不是“一键全解决”：
ClamAV 命令行查杀需进终端执行：
；它依赖病毒库更新，旧版可能不认识新型 base64+gzinflate 套壳
D盾需单独部署在 Windows 本地，上传整站 ZIP 扫描；它对 JS 跳转识别强，但无法检测服务器上实时生效的 Nginx 配置劫持
二者都可能报大量误报，比如把 Laravel 的
辅助函数、或正常压缩 JS 里的
当成威胁——得结合上下文判断
最常被忽略的跳转源头：数据库和缓存
如果所有文件都干净，跳转还在发生，立刻检查：
MySQL 数据库中文章内容、页面 HTML 字段是否含恶意 script 标签（尤其是 CMS 如 WordPress 的
）
Redis 缓存里是否存了被污染的渲染结果（比如用
搜关键词）
CDN 缓存是否被注入——清空 CDN 全站缓存，再访问源站确认是否仍有跳转
这类问题不会出现在任何「文件扫描」报告里，但却是真实攻击链的最后一环。别只盯着磁盘文件，数据层和中间件层一样要动刀。
eval(base64_decode(gzinflate(str_rot13(assert(unescape("%3Cscript")/www/wwwroot/example.com.user.ini.htaccess/www/wwwroot/example.com/.user.iniauto_prepend_file/www/wwwroot/example.com/.htaccesslocation /rewriteadd_header/www/wwwroot/example.com/index.htmlunescapedocument.writesrc=/www/server/panel/vhost/nginx/example.com.confsub_filterproxy_set_headerclamdscan --fdpass --infected --multiscan /www/wwwroot/example.comeval()unescapewp_posts.post_contentredis-cli keys "*html*"