ThinkPHP被入侵后排查后门文件的核心是“找异常、验来源、断执行”，重点检查上传与公共目录中的伪装脚本、混淆加密代码、关键入口篡改及服务器配置劫持，并结合访问日志定位可疑行为。
ThinkPHP被入侵后排查后门文件，核心是“找异常、验来源、断执行”。重点不是盲目删文件，而是识别哪些文件本不该存在、哪些代码行为违背框架规范、哪些路径被绕过防护机制。
检查上传目录和公共目录中的可疑脚本
ThinkPHP项目中，/Public/、/uploads/、/static/ 等目录常被攻击者利用上传恶意文件。尤其注意以下几类：
- 扩展名异常但能执行的文件：如 lib.jpg、1.php5、config.png，它们可能配合 .htaccess 或 Nginx 配置实现伪装执行
- 名字仿官方但逻辑异常的文件：如 uploadify.php（非 ThinkPHP 自带）、file.php、index2.php
- 无业务关联却含敏感函数的 PHP 文件：搜索 eval(、assert(、base64_decode(、system(、shell_exec(、preg_replace(/e)
审计源码中隐藏的加密后门
第三方购买或外包开发的 ThinkPHP 项目，常在控制器、模型或公共函数里埋入免杀后门。典型特征包括：
- 代码中出现混淆字符串拼接，比如 $a='as'.'sert'; $a($_POST['x']);
- 使用 base64、str_rot13、自定义 XOR 解密后再执行的逻辑
- 在 common.php、function.php 或中间件中插入看似无害的钩子调用
- 检查 app/common.php、thinkphp/library/think/App.php 等关键入口是否被篡改
验证 Web 服务器配置是否被劫持
后门不一定藏在 PHP 文件里，也可能靠配置绕过限制。务必检查：
立即学习“PHP免费学习笔记（深入）”；
- 根目录及子目录下是否存在 .htaccess（Apache）或 .user.ini（PHP-FPM），内容是否包含 SetHandler application/x-httpd-php 或 auto_prepend_file
- Nginx 配置中是否有异常的 location ~ \.(jpg|png|gif)$ { fastcgi_pass ... } 规则
- PHP 配置是否开启危险选项：allow_url_include=On、disable_functions 是否被清空或绕过
结合日志定位上传与执行行为
Apache 或 Nginx 的 access.log 是最直接的线索来源。重点关注：
- 高频访问非业务路径，如 /Public/uploadify.php、/static/file.php
- 同一 IP 在短时间内大量 POST 上传请求，且响应状态为 200
- GET 请求访问图片类资源但返回非图片内容（如 PHP 输出），说明已被重解析执行
- 时间戳集中出现在凌晨或业务低峰期，配合数据库异常操作时间交叉比对
