PHP后门清理不能仅靠删文件，需扫描可疑函数、核对修改时间、比对官方源码，并排查多站点路径、CMS漏洞、危险函数启用及定时任务等入口。
PHP后门不是靠“删文件”就能清干净的，尤其在多站点环境下，手动删一个 shell.php 或 1.php 只是表面动作——真正的风险藏在被篡改的合法文件里、隐藏的 base64 恶意代码中、甚至 WordPress 插件或主题的正常 PHP 文件内。
怎么确认某个 PHP 文件是不是后门
别只盯着文件名像 cmd.php、z.php 的文件。真实后门往往伪装成 wp-config.php 备份、cache.php、update.php，或者直接嵌进 functions.php 末尾。
- 用
grep -r "eval.*base64_decode\|system\|exec\|passthru\|shell_exec" /var/www/html/扫描可疑函数调用（注意：有些后门会拆开写，比如ev'.'al） - 检查文件修改时间是否异常：比如
stat -c "%y %n" /var/www/html/wp-content/themes/twentytwentyfour/functions.php看是否比主题发布时间新得多 - 对比原始程序包：下载官方 WordPress / Typecho / Discuz 包，用
diff -rq对比核心目录（但跳过wp-content这类本该可写的目录）
多站点下如何避免漏删、误删、反复感染
WordPress 多站点、宝塔面板下多个子域名共用一个 PHP 运行环境、或 Nginx 配置了多个 root 目录——这时候不能只查一个路径，也不能直接全盘 rm -rf。
- 先理清每个站点的实际物理路径：
grep -r "root " /www/server/panel/vhost/nginx/（宝塔）或nginx -T | grep -A1 "server_name"（手搭） - 逐个进入每个
root目录，运行扫描命令，**不要跨目录用通配符**（比如/var/www/*可能扫到日志、临时文件，误报率高） - 重点盯
wp-content/plugins/和wp-content/themes/下非官方来源的插件/主题——很多后门通过“免费破解插件”植入，且带自动更新机制，删完几天又回来
删完后为什么还会被重新写入 shell.php
删文件只是结果，没堵住入口，等于白干。常见原因不是“没删干净”，而是“还在被写入”。
