花三分钟就能完成php2shell相关的版本和资产初筛，注意这个初筛没法直接证明漏洞一定能被利用，也不能排除系统已经被入侵的可能。先摸清楚实际运行的解释器和安装包来源，再决定是升级、隔离还是做进一步核实。
第一分钟：找到处理请求的运行环境
先锁定要排查的具体网站或者服务对象，别一上来就在任意终端里直接敲升级命令。顺着域名查背后的主机、代理转发目标和实际运行方式，判断PHP解释器是系统包安装、容器部署，还是托管平台提供的。要是暂时拿不准，先标记成待核实，别靠猜测直接关掉安全告警。
# 当前终端的只读信息，不等同于网页运行环境 command -v php php -v php --ini
一台主机上很可能装了多个PHP版本，得把每一份可执行文件对应的服务都记录下来。网页对接的进程池可能用的是另一个分支的PHP，计划任务也经常写死PHP的完整绝对路径。排查范围至少要覆盖公开站点、对外接口、后台定时任务，还有那些忘了删除的旧测试站。
立即学习“PHP免费学习笔记（深入）”；
第二分钟：核对版本门槛与包来源
PHP官方上游发布的首批修复版本分别为 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。核对时要用完整的精确版本字符串比对，别光靠控制台输出的大版本名称就判断已经打了补丁。版本来源和完整构建信息最好一起留存，方便后续其他人复核。
不少Linux发行版会在旧基础版本号上回补漏洞修复，不会改动原有大版本号，这时候就得读取完整包号和对应发行版的安全公告。自行编译的PHP版本要核对源码包、打过的补丁和构建记录，只靠响应头或者外部扫描器识别出来的版本号，根本没法完成这一步校验。
| 检查结果 | 初筛结论 | 下一步 |
|---|---|---|
| 上游版本低于修复门槛 | 需要更新或核实回补 | 联系包维护者 |
| 供应商确认完整回补 | 包层证据满足 | 继续验证进程生效 |
| 来源和版本无法确认 | 状态未知 | 优先限制暴露并取证 |
第三分钟：把结论交给明确的负责人
记录域名、主机、运行方式、版本和安装来源，能证明修复生效的包号或者官方公告也一并保存，别只用一张终端截图代替全部说明。
还没修复的公网系统优先安排更新，实在没法马上安装补丁的，由负责人敲定临时维护、访问来源限制或者隔离策略，别光口头通知一下就完事。
包已经完成更新的系统，要检查运行中的进程是不是已经替换、所有副本的版本是不是都一致。如果同时查到可疑文件、陌生外连或者账号异常变动，直接单独开入侵调查流程，不能按普通升级流程直接关工单。
为什么版本初筛与漏洞检测是两回事
PHP2Shell牵涉异常内存处理和跨请求状态，具体攻击路径会受服务模式、应用自身行为和构建环境影响。版本盘点只会告诉你哪些系统应当修补，不能证明某个请求一定能成功利用，也不能证明之前没有攻击者入侵过。把只读盘点和攻击测试混为一谈，很容易给出错误的安全保证。
完整只读脚本：收集最小运行证据
<?php
// 本脚本只盘点当前进程；不主动测试漏洞，不请求任何公网主机。
$data = ['php_version'=>PHP_VERSION, 'sapi'=>PHP_SAPI,
'binary'=>PHP_BINARY ?: '(not available)',
'ini'=>php_ini_loaded_file() ?: '(none)',
'scanned_ini'=>php_ini_scanned_files() ?: '(none)',
'pid'=>getmypid()];
echo json_encode($data,JSON_PRETTY_PRINT | JSON_UNESCAPED_SLASHES), PHP_EOL;
把脚本保存为 quick-inventory.php 再执行就行，示例已经在本地 PHP 8.5.10 WebAssembly 运行时验证过，输出结果只代表当前演示进程的信息。网页环境的诊断接口必须放在可信的管理入口，检查完立刻撤除，避免暴露服务器详细路径。
初筛之后，不要漏掉这些检查
- 错误排查只看了一台机器：逐个核对所有后端节点，静态页面缓存不代表解释器已经执行过检查逻辑。
- 版本低就直接判漏洞可利用：先排除发行版回补等特殊情况，再输出最终结论。
- 版本新就直接判未入侵：新补丁不会清理历史植入的后门或者已经泄露的凭据。
- 没有看到异常日志：日志级别、保留周期和采集路径都可能造成攻击记录遗漏。
没有服务器权限时，直接把问题同步给托管商：问清楚对应站点实例是否覆盖所有漏洞编号、使用哪个修复包、工作进程是否已经完成替换。要求对方按实际实例给出答复，比空泛询问“你们的服务器安全吗”更容易拿到可验收的实际证据。
三分钟结束时，最有价值的产物是一份每一条都有依据、对应到具体负责人、写清后续动作的清单。碰到多节点部署、面板混装PHP或者已经发现历史入侵迹象的场景，要继续深入调查，别为了凑计时目标强行宣布系统安全。
