清理掉可疑脚本后过几小时又生成，文件名每次不同。第一次遇到会往复杂处想，其实漏掉的多是个小前提。
grep -rn 'eval\|base64_decode\|assert(' --include='*.php' /www/wwwroot | head -30
ls -lt /www/wwwroot | head
站点存在可触发的写入点，攻击者留下自动重建机制。这一点先确认清楚，后面就不用反复试。
碰到「webshell 清理」这类问题，我习惯先把当前配置原样备份一份，改坏了立刻换回来，不用现场推。把这次用到的命令存进笔记，比记住结论有用，换个环境还能照着走。
改完隔一天再看一次，当场正常不代表能稳住。测试环境和线上的差别，往往就在版本号和那几行被忽略的配置上。
线上出问题先对时间点，跟发布、备份、任务执行的时刻排一排，能省掉一半功夫。日志级别临时调高可以，记得改回去，长期开着既占磁盘又掩盖真问题。
具体做法是，检查计划任务与启动脚本；排查被修改的核心文件；换密钥并重建受影响目录。
改完照着核一遍，重建后一段时间内无新增可疑文件。