发现网站异常时，应立即排查PHP后门：首先检查eval、assert、preg_replace等危险函数使用情况；其次分析base64_decode、gzinflate等混淆代码；再审查动态文件包含行为及用户输入控制的路径；接着扫描敏感目录中的隐藏或异常PHP文件；最后通过Web Shell特征关键词、密码验证逻辑及日志行为判断是否存在已知后门，并结合工具进行全量扫描。
如果您发现网站出现异常行为，例如文件被篡改、流量异常或权限被提升，可能是由于PHP源码中植入了后门程序。以下是排查PHP源码中是否存在后门的关键技巧和操作步骤：
一、检查可疑的系统函数调用
恶意代码通常会利用某些危险的PHP函数执行系统命令或动态执行代码。识别这些函数的使用是发现后门的重要手段。
1、搜索源码中是否包含 eval 函数，该函数可直接执行字符串形式的PHP代码，常被用于隐藏恶意逻辑。
2、查找 assert 函数的非常规使用，尤其是在接收用户输入时作为回调处理的情况。
立即学习“PHP免费学习笔记（深入）”；
3、检查 preg_replace 是否配合修饰符 "e" 使用，这种组合可以实现代码执行，已被废弃但仍可能出现在老版本代码中。
4、定位 system、exec、shell_exec、passthru 等系统命令执行函数，确认其参数是否受外部控制。
二、分析异常的编码与混淆技术
攻击者常通过编码或加密方式隐藏后门代码的真实意图，绕过简单的文本扫描。
1、查看是否存在大量使用 base64_decode 包裹的长字符串，尤其是紧跟在 eval 或 assert 之前。
2、识别经过 gzinflate、gzuncompress 解压后再执行的代码块，这可能是压缩后的恶意脚本。
3、检查变量名是否采用无意义的随机字符，如 $a1b2c3、$x、$__，结合多层嵌套字符串拼接，属于典型的混淆手法。
4、使用PHP解析工具（如 PHP-Parser）对代码进行抽象语法树分析，还原混淆逻辑的实际执行流程。
三、审查文件包含行为
远程或本地文件包含漏洞可能被用来加载外部后门脚本，需重点排查相关函数的调用上下文。
1、查找 include、require、include_once、require_once 是否引用了动态生成的文件路径。
2、确认包含语句中的变量是否来自用户输入（如 $_GET、$_POST、$_SERVER），这类情况极易导致任意文件包含。
3、特别注意包含路径为数据流协议的形式，例如 php://input、data://text/plain，这些可用于注入代码。
四、监控敏感目录与隐藏文件
后门文件往往被放置在非标准位置或伪装成正常系统文件，需结合服务器环境进行比对。
1、列出所有以点开头的PHP文件，例如 .htaccess.php 或 .shell.php，此类命名容易被忽略。
2、检查上传目录（如 uploads、images、temp）中是否存在可执行的PHP文件，尤其关注最近修改时间异常的文件。
3、对比项目原始版本库，找出未经过版本控制记录的新增或更改文件。
4、使用命令行工具如 find 配合 grep 快速筛选可疑文件：find /var/www -name "*.php" -exec grep -l "eval.*base64_decode" {} \;
五、检测Web Shell特征签名
常见的PHP后门具有固定的模式和功能界面，可通过特征匹配快速识别。
1、搜索代码中是否含有典型Web Shell关键词，如 Command:、File Manager、Database Client 等界面提示信息。
2、检查是否存在密码验证逻辑嵌入在单个PHP文件中，且仅通过一个参数触发，例如 if($_GET['pass']=='123')。
3、使用开源检测工具（如 LMD、rkhunter、WebShellScanner）对整个目录进行扫描，匹配已知后门指纹。
4、观察HTTP访问日志中是否有高频请求特定小体积PHP文件的行为，配合响应状态码200判断是否为交互式后门通信。
