实战教程库
功能插件
宝塔企业版 PHP 安全防护与 We...
PHP 网站是如何被植入 WebShell 木马的？
绝大多数 PHP 网站被黑，路径都非常相似：攻击者先利用插件上传漏洞或编辑器配置不当，将伪装成图片的一句话木马（.php）传进 uploads 目录，随后通过浏览器直接请求该脚本并调用 eval()、system()、shell_exec() 等函数控制整台服务器。在宝塔专业版与企业版（v13.1.0 / Windows v8.5.2） 中，可以通过以下四层防线彻底斩断这条攻击链。
第一层：在宝塔「网站设置」禁止上传目录执行 PHP
打开宝塔面板「网站 → 点击目标站点设置 → 安全（或目录权限）」，勾选不需执行脚本的静态目录（如 /uploads、/static、/images、/Public）。配置后，即使攻击者绕过前端校验把 .php 文件传进了上传目录，Nginx/Apache 也会直接返回 403 拒绝解析执行。
第二层：在「PHP 管理」禁用高危系统命令函数
打开「软件商店 → 已安装的 PHP 版本 → 设置 → 禁用函数」，确认以下危险函数处于禁用列表中：
exec、system、passthru、shell_exec、popen、proc_open、pcntl_exec*(注：若 Laravel Composer 或特定队列依赖 proc_open，可在完成部署后重新加入禁用，或通过企业版防篡改锁定代码。)*
第三层：开启宝塔企业版「WAF 网站防火墙 + 网站防篡改」
Nginx 网站防火墙（WAF） ：自动检测 multipart 文件上传体中的恶意 PHP 标签与一句话特征码，在落地前直接阻断。企业级防篡改 ：锁死全站 .php 后缀文件，任何未授权的新增 PHP 脚本均无法写入磁盘。第四层：启用宝塔木马查杀与 PHP 网站安全告警
在面板「安全 / 软件商店」中使用 WebShell 查杀工具对 /www/wwwroot 定期扫描，并在企业版「安全中心 → PHP网站安全」开启 PHP 模块实时监控告警，结合网站被挂暗链排查指南 形成完整闭环。
同一授权通用 宝塔 Linux 专业版/企业版、宝塔 Windows 专业版/企业版、国际版 aaPanel PRO 。已有免费版无需重装系统，绑定服务器公网 IPv4 后执行一行升级命令即可无损激活（不改动现有网站与数据库，2 台起自动享 9.5 折至 8 折）：
固定 IP 永久授权：¥19.99 / 台
一次付费无月费 · 适合固定公网 IP 生产机
可换 IP 永久授权：¥88.88 / 台
支持在线自助更换 10 次 IP · 换机迁云更灵活
Q
宝塔查杀出可疑 WebShell 文件后应该直接删掉吗？
建议先在面板将可疑文件隔离或下载备份记录其文件修改时间，再对照网站访问日志（Access Log）找出同一时间点是哪个 URL 接口被利用上传了该文件，修补漏洞并开启防篡改后再删除。
Q
一个服务器上跑了 10 个 PHP 网站，怎么防止其中一个被黑连累其他 9 个？
请务必在宝塔每个网站的「网站目录」设置中开启「防跨站攻击（open_basedir）」，将每个 PHP 站点的读写范围严格隔离在各自的根目录内。
依据与适用范围
以下为本站服务说明与公开资料依据（最后核对时间：2026-10-24）。
企业版与专业版核心插件矩阵
开通宝塔企业版或专业版授权后，可在面板「软件商店 → 专业版插件 / 企业版插件」中直接安装与管理专属插件，包括网站防火墙（Nginx/Apache WAF）、网站防篡改、网站监控报表、企业级防灾备份、数据同步工具、系统加固、木马查杀、负载均衡等。
核对日期：2026-10-16
四大产品线：永久专业版、企业版、Linux、Windows、aaPanel PRO
本站支持四大核心产品线授权开通：宝塔 Linux 专业版与企业版（当前版本 v13.1.0，适用 Ubuntu/Debian/CentOS 等）、宝塔 Windows 专业版与企业版（当前版本 v8.5.2，适用 Windows Server）、aaPanel PRO 版（当前版本 v8.0.7，国际英文版）。各版本均支持全新安装或从免费版无损在线升级。
核对日期：2026-10-16
宝塔 Linux 免费版无损升级企业版/专业版命令
宝塔 Linux 免费版无损升级企业版/专业版：无需重装系统或面板，在已安装宝塔的服务器 SSH 终端执行 `setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &`，脚本后台完成平滑升级，保留原有网站、数据库与配置，完成后刷新面板即可使用企业版插件。
核对日期：2026-10-16
官方配套安装与无损升级教程文档
本站配套的安装与升级实操文档为 https://baota.in/tutorial.html，包含宝塔 Linux 企业版/专业版、Windows 企业版/专业版及 aaPanel PRO 版的全新安装（3 步）与免费版无损升级（2 步）标准命令。
核对日期：2026-10-16
本站产品覆盖与永久授权服务
本站提供宝塔永久专业版与企业版、Linux 专业版与企业版、Windows 专业版与企业版以及国际英文版 aaPanel PRO 的授权开通、订单查询与可换 IP 自助换绑服务。绑定服务器公网 IPv4 后即可解锁对应版本的专业版与企业版插件功能。
核对日期：2026-10-16
宝塔企业版和专业版有哪些专属插件？核心安全与运维插件完整盘点
下一篇
宝塔企业版「数据同步工具」怎么用？多台服务器网站文件实时增量同步教程