# 宝塔企业版 PHP 安全防护与 WebShell 木马查杀插件实战指南

> 构建宝塔 PHP 网站防木马防线需四管齐下：在 PHP 设置中禁用 `eval`/`exec`/`shell_exec` 等高危执行函数、在网站设置中取消 `uploads` 目录 PHP 执行权限、开启宝塔企业版「网站防篡改」与「WAF 防火墙」，并启用定时 WebShell 查杀。

- 分类: 功能插件
- 发布: 2026-10-11
- 更新: 2026-10-24
- 原文: https://pay.baota.in/article/bt-php-security-webshell-defense

## PHP 网站是如何被植入 WebShell 木马的？

绝大多数 PHP 网站被黑，路径都非常相似：攻击者先利用插件上传漏洞或编辑器配置不当，将伪装成图片的一句话木马（`.php`）传进 `uploads` 目录，随后通过浏览器直接请求该脚本并调用 `eval()`、`system()`、`shell_exec()` 等函数控制整台服务器。在**宝塔专业版与企业版（v13.1.0 / Windows v8.5.2）**中，可以通过以下四层防线彻底斩断这条攻击链。

## 第一层：在宝塔「网站设置」禁止上传目录执行 PHP

打开宝塔面板「网站 → 点击目标站点设置 → 安全（或目录权限）」，勾选不需执行脚本的静态目录（如 `/uploads`、`/static`、`/images`、`/Public`）。配置后，即使攻击者绕过前端校验把 `.php` 文件传进了上传目录，Nginx/Apache 也会直接返回 403 拒绝解析执行。

## 第二层：在「PHP 管理」禁用高危系统命令函数

打开「软件商店 → 已安装的 PHP 版本 → 设置 → 禁用函数」，确认以下危险函数处于禁用列表中：

- `exec`、`system`、`passthru`、`shell_exec`、`popen`、`proc_open`、`pcntl_exec`

*(注：若 Laravel Composer 或特定队列依赖 `proc_open`，可在完成部署后重新加入禁用，或通过企业版防篡改锁定代码。)*

## 第三层：开启宝塔企业版「WAF 网站防火墙 + 网站防篡改」

1. **Nginx 网站防火墙（WAF）**：自动检测 multipart 文件上传体中的恶意 PHP 标签与一句话特征码，在落地前直接阻断。
2. **企业级防篡改**：锁死全站 `.php` 后缀文件，任何未授权的新增 PHP 脚本均无法写入磁盘。

## 第四层：启用宝塔木马查杀与 PHP 网站安全告警

在面板「安全 / 软件商店」中使用 WebShell 查杀工具对 `/www/wwwroot` 定期扫描，并在企业版「安全中心 → PHP网站安全」开启 PHP 模块实时监控告警，结合[网站被挂暗链排查指南](/article/bt-panel-tamper-proof-anti-dark-chain)形成完整闭环。

## 依据与适用范围

- 企业版与专业版核心插件矩阵: 开通宝塔企业版或专业版授权后，可在面板「软件商店 → 专业版插件 / 企业版插件」中直接安装与管理专属插件，包括网站防火墙（Nginx/Apache WAF）、网站防篡改、网站监控报表、企业级防灾备份、数据同步工具、系统加固、木马查杀、负载均衡等。
  来源: https://docs.bt.cn/
- 四大产品线：永久专业版、企业版、Linux、Windows、aaPanel PRO: 本站支持四大核心产品线授权开通：宝塔 Linux 专业版与企业版（当前版本 v13.1.0，适用 Ubuntu/Debian/CentOS 等）、宝塔 Windows 专业版与企业版（当前版本 v8.5.2，适用 Windows Server）、aaPanel PRO 版（当前版本 v8.0.7，国际英文版）。各版本均支持全新安装或从免费版无损在线升级。
  来源: https://pay.baota.in/
- 宝塔 Linux 免费版无损升级企业版/专业版命令: 宝塔 Linux 免费版无损升级企业版/专业版：无需重装系统或面板，在已安装宝塔的服务器 SSH 终端执行 `setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &`，脚本后台完成平滑升级，保留原有网站、数据库与配置，完成后刷新面板即可使用企业版插件。
  来源: https://baota.in/tutorial.html
- 官方配套安装与无损升级教程文档: 本站配套的安装与升级实操文档为 https://baota.in/tutorial.html，包含宝塔 Linux 企业版/专业版、Windows 企业版/专业版及 aaPanel PRO 版的全新安装（3 步）与免费版无损升级（2 步）标准命令。
  来源: https://baota.in/tutorial.html
- 本站产品覆盖与永久授权服务: 本站提供宝塔永久专业版与企业版、Linux 专业版与企业版、Windows 专业版与企业版以及国际英文版 aaPanel PRO 的授权开通、订单查询与可换 IP 自助换绑服务。绑定服务器公网 IPv4 后即可解锁对应版本的专业版与企业版插件功能。
  来源: https://pay.baota.in/

## 常见问题

### 宝塔查杀出可疑 WebShell 文件后应该直接删掉吗？

建议先在面板将可疑文件隔离或下载备份记录其文件修改时间，再对照网站访问日志（Access Log）找出同一时间点是哪个 URL 接口被利用上传了该文件，修补漏洞并开启防篡改后再删除。

### 一个服务器上跑了 10 个 PHP 网站，怎么防止其中一个被黑连累其他 9 个？

请务必在宝塔每个网站的「网站目录」设置中开启「防跨站攻击（open_basedir）」，将每个 PHP 站点的读写范围严格隔离在各自的根目录内。