排查WebShell应结合文件、进程、网络和日志，不能只根据可疑文件名判断。发现异常后首先保存证据并控制影响。

识别异常变化

比较已知发布版本，检查新增脚本、异常修改时间和上传目录执行文件。

关联访问记录

查看可疑文件访问、异常命令与外联，不在生产上随意运行可疑脚本。

清除入口与凭据

在隔离和备份后修复漏洞、轮换受影响凭据并恢复可信版本。只删除一个文件不能证明攻击路径已经关闭。

排查不要只依赖一个恶意文件名

结合异常文件变化、进程、请求与账号行为，确认是否存在持续访问方式。

保留证据并检查同环境其他入口，从可信版本恢复，清理一个脚本不能证明整个环境可信。

例如恶意文件清理后再次出现，检查账号、计划任务与入口，不能只重复删除文件。

相关阅读：网站入侵应急：隔离、证据、恢复和复盘。