php后门在线检测

昨晚帮朋友清理一台被黑的门线服务器，在 /tmp 目录里翻出一个 20 行的检测 PHP 文件。代码写得极简，门线没有注释，检测但一眼就能看出是门线个后门——它接收 POST 参数，直接拼进 system() 函数执行。检测这种攻击者留下的门线“方便之门”，比想象中更常见。检测

PHP 后门检测，门线说白了就是检测在一堆代码里找“异常入口”。异常的门线标准很朴素：一个正常业务网站，不该有执行系统命令的检测接口，不该有绕过登录直接读写文件的门线脚本，更不该出现加密字符串拼 eval 的检测骚操作。检测思路无非两条路：静态扫描文件内容，门线或者动态监控运行行为。

静态扫描依赖特征库。常见的危险函数像 eval、assert、system、exec、shell_exec，还有那些变形的写法，比如用 base64_decode 包一层，或者把字符串拆成几段再拼接。写个简单的 Python 脚本，遍历目录，正则匹配这些关键词，能扫掉八成低级后门。但攻击者不傻，他们会用变量函数、用回调函数、用 create_function 这类冷门机制绕过正则。我见过一个样本，把危险函数名拆成字符数组，循环拼接后调用，静态特征完全失效。

这时候得靠动态监控。把 PHP 跑在 Docker 容器里，用 strace 跟踪系统调用，一旦有进程执行 execve，立刻报警。或者用 PHP 扩展，hook 住关键函数，记录调用栈和参数。这类方法准确率高，但部署成本大，适合生产环境。个人站长图省事，可以装个 Web 应用防火墙，比如 OpenResty 加 Lua 脚本，拦截带可疑参数的请求。

实际检测中，别光盯着 .php 文件。后门经常藏在图片文件里，用记事本打开 JPG 尾部能看到 PHP 标签。还有的藏在 .htaccess 里，用 SetHandler 把普通文件解析成 PHP。更阴险的是把后门代码写进正常的框架文件，比如 Laravel 的某个 ServiceProvider，混在业务逻辑里，不逐行读根本发现不了。

给个笨但有效的土办法：对比文件哈希。从官方渠道下载一份干净的源码包，跟服务器上的文件做比对，多出来的或者被修改过的文件，十有八九有问题。这套逻辑对付开源 CMS 很管用，WordPress 被挂马后，用 diff 命令一比对，新增文件全暴露了。

碰到加密混淆的后门也别慌。把代码丢进本地 PHP 环境跑一遍，开启错误显示，看它输出什么。很多后门会先检测当前环境，是浏览器访问还是命令行执行，根据 User-Agent 决定是否激活。你伪装成搜索引擎爬虫去访问，反而能触发它的真实行为。

检测这事儿，说到底是个对抗游戏。攻击者不断换手法，检测工具就得跟着升级。但有个底层逻辑不变：后门总得跟外部通信，要么接收指令，要么回传数据。盯着异常的网络连接，比盯着代码本身更可靠。用 netstat 查看 PHP-FPM 进程的 ESTABLISHED 连接，发现连到陌生 IP 的，基本可以断定有问题。

写了这么多，最想说的是：别指望一个工具解决所有问题。把静态扫描、文件监控、日志审计、网络异常检测组合起来，才勉强够用。而且检测出后门只是第一步，搞清楚攻击者怎么进来的更重要——改密码、补漏洞、删掉可疑账号，这套善后流程，比删文件本身费时间多了。

很赞哦!（7）