首先识别PHP后门特征，如eval、assert等函数调用及base64_decode混淆代码；其次检查文件时间与权限异常；再利用Lynis、rkhunter等工具扫描；最后通过禁用危险函数、限制目录执行权限和最小化服务账户权限加强防护。
一、识别PHP后门程序的基本特征
在检查网站文件时，若发现异常的PHP脚本行为，可能是WebShell植入的迹象。此类后门通常利用函数执行漏洞隐藏恶意代码，实现远程控制服务器的目的。
1、查看PHP文件中是否存在eval($_POST、assert($_REQUEST等动态代码执行函数调用。
2、检查是否有经过编码混淆的字符串，如base64_decode与gzinflate组合使用，常用于隐藏真实载荷。
3、搜索文件中是否包含系统命令执行函数，例如system、exec、shell_exec，并判断其参数是否来自用户输入。
立即学习“PHP免费学习笔记（深入）”；
二、分析可疑文件的时间与权限异常
攻击者上传WebShell后，常会留下时间戳或权限配置上的痕迹。通过比对文件修改时间和访问日志可辅助判断入侵路径。
1、使用命令ls -la列出目录下所有文件的详细信息，重点关注最近被修改的PHP文件。
2、核对文件修改时间是否与正常部署周期吻合，非维护时段的变更需引起警惕。
3、检查文件权限设置是否过于宽松，例如权限为777的PHP脚本应立即审查来源。
三、利用安全工具进行自动化扫描
借助专业检测工具可以快速定位潜在的后门文件，提升排查效率。
1、部署开源项目如Lynis或rkhunter对服务器环境进行全面检查。
2、使用Web应用防火墙日志分析工具，如ModSecurity规则集检测异常请求模式。
3、运行专门针对PHP后门的扫描脚本，匹配已知WebShell特征码库。
四、加强服务器安全防护策略
通过限制关键函数和权限范围，降低WebShell成功执行的风险。
1、在php.ini中禁用危险函数，将disable_functions = eval, assert, system, exec, shell_exec, passthru, popen, proc_open加入配置。
2、设置Web目录不可执行权限，通过.htaccess或Nginx配置禁止上传目录解析PHP文件。
3、确保Web服务以最小权限账户运行，避免使用root或其他高权限用户启动Apache或Nginx进程。
