寻求适用于PHP和JS文件的开源恶意代码扫描工具（共享虚拟主机场景）

听起来你在共享主机环境里遇到的恶意代码问题真的挺棘手——用户不及时更新站点导致被黑，哪怕做了站点隔离，被黑站点发起的对外攻击或者垃圾邮件还是会连累整个服务器被封禁，更气人的是黑客还会提前潜伏几个月，等备份都被感染了才触发恶意行为，防不胜防。

结合你的需求，我整理了几个靠谱的开源工具，覆盖PHP和JS文件的扫描，还能帮你提前发现潜伏的恶意代码：

针对PHP文件的开源扫描工具 #

• ClamAV：这是个老牌的开源杀毒引擎，虽然不是专门为Web场景打造，但它的特征库能识别绝大多数常见的PHP恶意代码，比如webshell、后门脚本。你可以设置定时任务（比如用cron）定期批量扫描用户的web目录，既能检测已经激活的恶意代码，也能揪出潜伏的可疑文件。它对JS文件里的恶意片段也有一定识别能力，算是个全能型的基础工具。
• PHP Malware Finder：专门瞄准PHP恶意代码的开源工具，它靠正则匹配和恶意特征库，能精准检测webshell、危险函数调用（比如eval、exec的非常规用法），甚至能识别被混淆过的PHP恶意代码——这对发现潜伏的黑客脚本特别有用，毕竟黑客总喜欢混淆代码躲检测。用法也简单，直接在命令行跑：phpmalwarefinder /path/to/user-webroot，很适合批量扫多个用户站点。
• rkhunter：它主要是用来检测系统级的rootkit，但也能扫描web目录下的异常PHP文件，还能监控文件的完整性变化。比如某个原本正常的PHP文件突然被插入了奇怪的代码片段，它能及时发现并告警，帮你在黑客潜伏阶段就揪出问题。

针对JS文件的开源扫描工具 #

• JSDetox：开源的JS恶意代码分析工具，专门用来解析被混淆、加密的JS代码，能识别隐藏的恶意行为——比如偷偷跳转恶意站点、窃取用户数据、执行挖矿脚本之类的。它支持本地批量扫描JS文件，对于那些潜伏在前端代码里还没激活的恶意逻辑，识别效果很不错。
• Node Security Platform (NSP)：如果你的用户站点有用Node.js开发的，这个工具能扫描项目依赖包里的恶意代码或者已知漏洞，帮你排查后端JS里的风险。如果是纯前端JS文件，搭配JSDetox一起用会更全面。

额外的实用建议（适配共享主机场景） #

• 配置定期自动扫描：用主机的定时任务工具或者cron脚本，每天/每周自动扫描所有用户的web目录，把可疑文件列表整理出来，及时通知用户处理或者直接隔离，避免扩散。
• 开启文件完整性监控：比如用开源的tripwire或者inotifywait工具，监控PHP/JS文件的内容改动，一旦发现异常（比如突然新增了base64_decode、eval这类危险代码）就立刻告警，把潜伏的恶意行为扼杀在摇篮里。
• 搭配开源WAF：比如ModSecurity，它能实时监控HTTP请求，阻止恶意注入攻击，同时也能检测请求里的恶意代码特征，和扫描工具形成多层防护，进一步降低服务器被连累的风险。

备注：内容来源于stack exchange，提问作者leftcursor