服务器上多了一个陌生文件，名字起得人畜无害，比如`cache.php`或者`wp-config.bak`，打开一看，里面是几行混淆过的代码——恭喜，中招了。这就是Webshell，攻击者留在你机器上的后门。它不像病毒那样大张旗鼓，更多时候像一根细小的吸管，插在网站目录里，安安静静地等着指令。

我见过最离谱的一个案例，某电商站被挂Webshell三个月，运维愣是没发现。流量正常，CPU正常，连日志都没什么异常。后来数据库里突然多了一批1分钱的订单，这才炸了锅。排查半天，罪魁祸首是一个伪装成图片的PHP文件，藏在`upload`目录里，文件名是`1.jpg`，实际内容是``。就这么简单一行，攻击者拿到了服务器权限，想干嘛干嘛。

Webshell怎么进来的？路径其实不复杂。八成以上的情况，是网站程序有漏洞。文件上传没做校验，SQL注入点没过滤，或者用了某个老版本的编辑器插件，里面藏着已知的RCE。攻击者顺着这些口子把一句话木马写进文件，然后通过中国菜刀、蚁剑、冰蝎这类工具连接上去。工具一开，你的服务器就成了他的肉鸡。还有一种情况是弱口令。SSH爆破、数据库爆破，甚至后台管理员密码是`admin123`，都能让人长驱直入，手动传个Webshell上去。

那怎么办？先别慌，也别急着删文件。删掉一个，可能还有第二个、第三个。攻击者不傻，通常会留多个后门。正确的做法是先断网，把机器从网络里隔离出来，或者至少把Web服务停掉，防止数据继续被窃取或被当成跳板。然后做全盘排查。用`find`命令找最近修改过的文件，重点看`upload`、`tmp`、`cache`这些目录。再查一下计划任务，`crontab -l`，看看有没有定时拉取恶意脚本的条目。还有`.htaccess`文件，有时候攻击者会通过它把Webshell的访问权限伪装成正常请求。

排查工具可以用，但别全信。D盾、河马、长亭的牧云，都能扫出一批已知特征，可稍微改一下编码就绕过去了。最靠谱的还是人工看。看文件内容，看访问日志，看有没有异常的POST请求，特别是那种参数名奇怪、内容像base64的。比如日志里出现`POST /upload.php?cmd=...`，那基本没跑。

清理的时候，别只删文件。要找到入口点。是上传漏洞就修上传逻辑，是注入就修SQL查询，是弱口令就改密码加密钥登录。否则今天删了，明天又传上来了。有个朋友的公司，前后清了五次，每次都能再中，最后发现是某个第三方SDK里藏了后门，自动从远程拉取Webshell。这种供应链层面的问题，光靠扫文件根本解决不了。

预防比补救重要。Webshell这东西，一旦进来，你的数据就不再是你的了。数据库里的用户信息、订单记录、甚至服务器上的SSH密钥，都可能已经被打包带走。所以平时就得把门关好。文件上传目录禁止执行脚本，PHP配置里关掉`eval`、`system`这些危险函数，后台强制双因素认证，定期更新CMS和插件。还有，别用那些来路不明的破解版程序，里面塞个Webshell太容易了。

最后说个实在的。如果你不是安全出身，发现自己中了Webshell，别自己硬扛。找个靠谱的安全团队，花点钱做应急响应。数据泄露的代价，远比这点服务费高。服务器安全这件事，侥幸心理是最贵的。