一个PHP文件躺在服务器上，网站文件名是网站“upload.php”，内容只有三行。网站它不干别的网站，就接收一个参数，网站把参数内容写进另一个文件。网站这玩意儿叫webshell，网站说白了就是网站网页后门。

攻击者拿到它，网站就像在你家后墙掏了个洞，网站随时可以钻进来。网站而且这个洞还带密码锁——通常是网站一串md5加密的认证字符串，别人猜不到，网站只有攻击者自己知道怎么开。网站去年我帮朋友排查一个被黑的网站站点，发现后门就藏在一张正常的图片文件里。文件头是标准的GIF89a，中间夹着一大段PHP代码。服务器不认识图片，但它会执行文件里所有PHP片段。这种隐写手法，绕过了大多数静态扫描工具。

webshell的可怕之处在于它的隐蔽性和持久性。攻击者上传一次，就能长期控制服务器。更麻烦的是，有些后门会主动向外发送心跳包，告诉攻击者“我还活着”。有些则完全沉默，等攻击者主动连接。我见过一个案例，后门潜伏了两年多，直到某次安全审计才被发现。那两年里，攻击者用它发了上万封钓鱼邮件，服务器主人浑然不觉。

检测webshell不是件轻松事。静态扫描能抓出明显的特征码，但攻击者会做变形。把函数名拆开拼接、用base64编码、利用回调函数——这些手段都能骗过简单的正则匹配。动态检测更靠谱些，监控文件写入行为、进程执行记录，但误报率也高。有个客户装了个WAF，结果把自己正常的后台上传功能给拦了，气得直跳脚。

最有效的办法还是堵住上传入口。可现实是，很多业务确实需要文件上传功能。那就得做白名单校验、限制上传目录的执行权限、对上传内容做二次渲染。这些措施能挡掉大部分脚本小子，但碰上高手还是不够。真正的高手会利用零日漏洞直接打进服务器，根本不需要走上传流程。

说到底，webshell只是攻防博弈的一个缩影。服务器管理员在明处，攻击者在暗处。你加固一层，他就研究新的绕过方式。这场猫鼠游戏没有终点。我见过太多小站长，服务器被种了后门还浑然不知，直到某天数据库被删了才慌慌张张来求助。那时候已经晚了——攻击者可能早就把备份也一并清掉了。

别指望有什么一劳永逸的解决方案。定期检查文件完整性、监控异常流量、及时打补丁，这些基本功得坚持做。哪怕只是每月手动翻一遍服务器日志，也比什么都不做强。毕竟，后门这东西，发现得越早，损失越小。