```html

网站后门是什么意思

你辛辛苦苦搭了个博客，放了半年，后门访问量没多少，什意思结果某天打开一看，网站首页被篡改成一堆博彩广告。后门翻服务器日志，什意思发现有个陌生IP半夜传了个shell.php上去。网站这就是后门典型的网站后门——攻击者在你系统里留了一把只有他知道的钥匙，随时能进来。什意思

后门（Web Shell）本质是网站一段恶意脚本，用PHP、后门ASP、什意思JSP这些服务器端语言写成。网站上传成功后，后门攻击者通过浏览器访问这个文件，什意思就能在服务器上执行系统命令、读写文件、连接数据库。最常被利用的是文件上传功能。比如一个头像上传接口，只检查了Content-Type，没检查文件内容，那攻击者把shell.php改成shell.jpg再抓包改回后缀，就传上去了。上传后路径通常有规律，比如/uploads/2025/04/shell.php，访问一下，一个命令行界面就出来了。

我见过一个案例。某小型电商网站，后台用了某款老版本CMS，存在已知的SQL注入漏洞。攻击者通过注入拿到了管理员密码哈希，破解后登录后台，利用模板编辑功能直接写入一句话木马：<?php @eval($_POST['cmd']); ?>。就这一行，整个服务器沦陷。后来查日志，攻击者用这个后门在服务器上装了挖矿程序，CPU跑满，网站慢得像蜗牛。运维一开始以为是流量突增，查了半天才发现是后门在作祟。

后门的隐蔽性很强。有些后门不叫shell.php，而是伪装成wp-config.php里的正常代码，或者藏在图片的EXIF信息里。还有的用.htaccess把后门文件伪装成图片，直接访问返回404，但带上特定参数就能触发。更高级的用内存马，不落盘，重启就消失，查杀难度极大。

“我清理过一个后门，删了之后第二天又出现了。后来发现攻击者在crontab里加了定时任务，每十分钟从远程服务器下载一次后门文件。只删文件没用，得把定时任务也清掉。”

怎么判断网站有没有后门？几个信号：服务器CPU或带宽异常升高、网站被搜索引擎标记为恶意、出现不明文件（尤其是最近修改时间奇怪的文件）、日志里有大量POST请求到陌生路径。用find命令按时间排序找最近改动的文件，或者用grep搜eval、base64_decode这些危险函数。不过攻击者也会用assert、create_function这些冷门函数绕过检测。

防御上，文件上传要白名单校验后缀，别只靠前端JS。上传目录禁止执行脚本权限，Nginx里加个location ~* /uploads/.*\.(php|jsp|asp)$ { deny all; }。后台默认路径改掉，别用/admin。CMS和插件及时更新，很多后门就是利用已知漏洞进来的。数据库账号权限最小化，别用root连网站。

说个真实笑话。某公司网站被挂后门，安全人员排查时发现攻击者留了个readme.txt，里面写着“你们的服务器太慢了，我帮你们优化了一下”。打开一看，装了个门罗币挖矿程序。这攻击者还挺有幽默感，但对企业来说，这就是数据泄露和业务中断的开始。

---

后门这东西，防永远比救重要。定期备份、监控文件完整性、限制目录权限，这些老生常谈的手段真能挡住大部分低级攻击。至于高级的，那就得靠专业安全团队和持续的漏洞扫描了。别等首页被改成“Hacked by XXX”才想起来查日志。

```