识别PHP后门需重点审查eval()、assert()、preg_replace('/e')等函数及base64_decode等编码行为，典型特征如@eval(base64_decode("..."))；攻击者常通过十六进制、变量拼接、动态函数调用等方式混淆代码，需结合文件修改时间、路径异常、日志访问模式综合判断，建议使用rips等工具扫描，grep搜索敏感函数，配合AIDE监控文件完整性，并在php.ini中禁用危险函数，限制上传目录执行权限，防范优于清理。
分析PHP源码中的后门，关键在于识别异常行为、可疑函数和隐蔽的执行逻辑。攻击者常利用语言特性隐藏恶意代码，因此需要结合语法特征、函数调用和运行痕迹综合判断。
一、常见后门函数与敏感关键词
以下函数常被用于执行系统命令或动态执行代码，出现在源码中需重点审查：
- eval()：直接执行字符串代码，是典型的一句话木马载体
- assert()：在低版本PHP中可当作eval使用
- preg_replace('/e')**：修饰符'e'允许执行代码（PHP7已废弃）
- system()、exec()、shell_exec()、passthru()：执行系统命令
- file_put_contents()、fopen() + fwrite()：写入文件，可能用于上传新后门
- base64_decode()、gzinflate()：常用于解码混淆的恶意负载
@eval(base64_decode("JGZvbyA9ICdmb28nOw==")); // 解码后为 $foo = 'foo';
这种结构极可能是隐藏后门。
二、代码混淆与隐藏技巧识别
攻击者常通过编码、变量替换等方式绕过检测：
- 将字符串用十六进制、Unicode或异或运算表达
- 使用可变函数：如
$func = 'ass'.'ert'; $func($_POST['x']); - 利用动态变量名：
${"_PO"."ST"}['key'] - 多层嵌套调用，拆分敏感函数名防止搜索命中
遇到高度压缩或无意义命名的变量（如 $a, $b, $_0x123），应手动还原逻辑或使用工具格式化解码。
立即学习“PHP免费学习笔记（深入）”；
三、文件痕迹与行为特征分析
除了代码本身，还需检查文件属性与上下文：
- 查看文件修改时间是否异常，尤其近期无更新需求却变动的文件
- 对比原始程序文件，确认是否被篡改（如CMS核心文件新增了eval）
- 检查非常见路径下的PHP文件，如上传目录、缓存目录中存在.php脚本
- 日志中是否存在高频访问某个小文件，且携带加密参数
Web服务器日志中若发现大量请求某个页面并附带长串base64数据，很可能是交互式后门通信。
四、实用检测方法与建议
提高检出率的方法包括：
- 使用静态扫描工具：如 rips、yunser 等分析PHP代码漏洞
- 全文搜索敏感函数组合：
grep -r "eval\|base64_decode\|shell_exec" /var/www/html - 监控文件完整性，部署如 AIDE、Tripwire 类工具
- 关闭危险函数：在php.ini中设置
disable_functions=eval,assert,system,exec - 限制目录执行权限，上传目录禁止运行PHP
基本上就这些。关键是保持警惕，定期审计代码，不依赖单一手段。安全重在预防，而非事后清理。
