php后门

服务器被挂后门这事，我见过最蠢的一次，对方直接把webshell命名为shell.php，放在网站根目录，还加了注释“hacked by xxx”。管理员登录FTP扫一眼就能发现，可偏偏这站三个月没人管，后门就这么躺了九十天。你说讽刺不讽刺？安全防线常常不是被攻破的，而是被忽视的。

PHP后门说白了就一句话：在服务端留一段能执行任意代码的脚本。攻击者拿到它，等于拿到服务器的“遥控器”，想读数据库就读数据库，想删文件就删文件，想反弹shell就反弹shell。你网站上的用户密码、订单记录、甚至整个服务器的root权限，都可能被它一点点掏空。

最常见的后门长这样：

<?php @eval($_POST['cmd']);?>

几行代码，连注释都没有，但功能强大得吓人。往参数里塞个phpinfo()，服务器配置全暴露；塞个system('whoami')，当前用户权限直接到手。我见过有的后门更狡猾，把eval藏在图片里，或者用base64编码拆成好几段，再拼接起来执行——目的就一个：骗过WAF和杀软。

还有一种后门不走eval路线，它利用PHP的assert函数、preg_replace的/e修饰符，甚至create_function，本质上都是“代码注入”的变种。老版本PHP里preg_replace加/e能直接执行代码，现在禁用了，但老站没升级的依然一大把。你说技术门槛高吗？不高。网上随便搜下就有现成payload，连脚本小子都能用。

真正让人头疼的是内存马。它不落盘，直接写在PHP进程的内存里，你翻遍目录也找不到文件。怎么实现的？利用php_user_filter或者session回调，攻击者发一个特殊请求，代码就在内存里“活”了。等请求结束，内存释放，后门消失得无影无踪——除非你抓包分析流量，否则根本察觉不到。这玩意儿我遇到过两次，一次在客户的生产服务器上，排查了整整两天，最后靠对比正常请求日志里的UA头差异才揪出来。

检测后门，别光靠杀毒软件。那些基于特征码的扫描器，对付菜鸟写的后门还行，遇到混淆过的代码基本抓瞎。我常用的土办法是：看文件修改时间。如果某个PHP文件最近被改动过，而你自己没动过，那就有问题。再配合find / -name "*.php" -mtime -3这种命令，把最近三天改过的文件全列出来，人工过一遍。土是土了点，但真能发现漏网之鱼。

还有一招更直接——查access.log。后门要执行，必然有请求进来。搜eval、base64_decode、assert这些关键词，一条条翻。有一次我就是从日志里看到一个IP每隔五分钟就访问一次/upload/avatar.php，频率太规律了，一查果然是后门在跟远控端通信。

最后说点实际的。别以为装了防火墙就万事大吉，PHP后门往往不是从外部攻进来的——很多是通过上传功能进来的。某CMS的图片上传接口没过滤后缀，攻击者传了个.php文件，服务器直接解析执行。这种漏洞，你代码写得再安全都没用，入口在业务逻辑上。所以啊，检查后门的时候，顺带看看上传目录里有没有不该出现的文件，往往能发现惊喜。

后门这东西，堵不如疏。你堵得住一个入口，堵不住所有漏洞。真正该做的，是定期检查文件完整性、监控关键目录的写入操作、把服务器权限收得死死的——至少别让PHP进程以root身份跑。做到这些，就算后门被种上了，攻击者也翻不起大浪。