PHP后门清理不能依赖教程式点击删除或通用白名单，需结合内容分析（如eval、base64_decode等可疑函数）、哈希比对（仅适用于已知干净基线）及系统级排查（进程、定时任务、网络连接），并避免误删合法文件或忽略/tmp等隐蔽落点。
PHP后门不能靠“教程式点击删除”解决，也没有通用白名单机制能自动识别并精准删除——所谓白名单辅助，本质是人工定义可信文件范围后，用工具比对异常，它不识别后门逻辑，只识别“不在白名单里的陌生文件”。真要清理，得先确认后门类型和落点。
怎么看当前PHP文件是不是后门？
别信文件名（1.php、shell.php 可能是后门，但 index.php 也可能被注入）；重点看内容是否含可疑执行函数或编码载荷：
-
eval(、assert(、system(、exec(、passthru(、shell_exec(等动态执行函数调用 - 大量
base64_decode(+eval(组合，或gzinflate(+str_rot13(等多层解码结构 - HTTP 请求参数直接进
include/require（如include $_GET['f'] . '.php';） - 隐藏的长行注释末尾混着 base64 字符串，解出来是 PHP 代码
用 grep -r 快速扫一遍（生产环境慎用，建议先备份）：
grep -r "eval\|assert\|system\|exec\|shell_exec\|base64_decode\|gzinflate\|str_rot13" /var/www/html/ --include="*.php"
白名单机制到底怎么用？
白名单不是防病毒库，它是一份你确认“原始、未篡改、可信任”的文件哈希清单（比如 Git commit 记录里的 clean 版本）。它的作用是：快速标出哪些文件被改过、新增过。
立即学习“PHP免费学习笔记（深入）”；
- 生成白名单：
find /var/www/html -name "*.php" -type f -print0 | xargs -0 sha256sum > whitelist.sha256 - 上线后定期比对：
sha256sum -c whitelist.sha256 2>&1 | grep -E "FAILED|No such file" - 输出里出现
FAILED表示文件内容被改；出现No such file表示有新 PHP 文件（极可能是后门）
注意：白名单本身必须离线保存、不可放在被入侵服务器上；一旦服务器已沦陷，首次生成的白名单可能就包含后门文件——所以白名单只适用于“已知干净基线”的场景，比如 CI/CD 构建后立刻生成。
删后门时最容易踩的三个坑
删错文件会导致网站崩溃，比留着后门更糟：
- 盲目删所有带
eval的文件：WordPress 插件、缓存组件、甚至 Laravel 的某些调试工具都合法使用eval，得结合上下文判断 - 只删 Web 目录，忽略
/tmp、/var/tmp下的持久化后门（比如通过file_put_contents('/tmp/x.php', ...)写入的独立 shell） - 删完没查 Web Server 配置：攻击者可能在
nginx.conf里加了location ~ \.xxx$ { alias /var/tmp/backdoor.php; }，文件删了，请求仍能触发
真正可靠的清理路径是：隔离服务器 → 检查进程 & 定时任务（ps aux、crontab -l、systemctl list-timers）→ 查网络连接（netstat -tulpn）→ 再逐个分析可疑 PHP 文件 → 最后重装或从可信备份恢复。
白名单能帮你发现“多了什么、变了什么”，但它不理解 PHP 语法，也不懂业务逻辑。最危险的后门往往藏在看似正常的文件里，比如改一行 file_get_contents() 调用去加载远程恶意配置——这种，哈希校验完全无法捕捉。
