核心是断链+溯源+堵入口：先用find命令定位7天内新增PHP文件，再查上传逻辑绕过点（如仅校验扩展名、未验MIME）、阻断持久化机制（.user.ini/auto_prepend_file、异常重写规则），最后分层加固上传流程（强制重命名、内容检测、禁执行）。
清理 PHP 8.0 网站上传木马类漏洞，核心不是“删文件”，而是“断链+溯源+堵入口”。木马能上传成功，说明已有环节失守；只清已知木马，等于默认攻击者还能再次进来。下面分三步讲清楚怎么做。
定位所有可疑上传点和木马文件
别只盯着 uploads/ 目录。木马常藏在：
• 缓存目录（runtime/cache/、storage/framework/cache/）
• 日志目录（logs/、var/log/）里被写入的 .php 文件
• 模板目录中新增的 .php 或 .phtml 文件（尤其名称像 index2.php、shell_123.php）
• 静态资源目录下伪装成图片的文件（如 xxx.jpg.php、avatar.png?.php）
用这条命令快速扫一遍全站 PHP 文件修改时间（重点看最近 7 天）：find /var/www/html -name "*.php" -type f -mtime -7 -ls 2>/dev/null
检查上传逻辑是否被绕过
上传木马 ≠ 上传功能本身有漏洞，更可能是验证被跳过。重点查：
• 前端 JS 校验是否被禁用或绕过（看浏览器 Network 面板，重放请求改 Content-Type 或后缀）
• 服务端是否只校验了文件扩展名，没校验 MIME 类型或文件头（用 file -i xxx.jpg 查真实类型）
• 是否用了黑名单过滤（如只拦 .php 却漏了 .pht、.phar、.php5）
• 是否允许用户控制文件名拼接路径（如 include($_GET['file'] . '.php')），这可能引发 LFI + 木马执行
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
阻断常见木马执行与持久化方式
清理完文件，必须防止残留机制二次激活：
• 检查 .user.ini 和 php.ini 是否被注入 auto_prepend_file 或 extension= 加载恶意模块
• 查 webroot/.htaccess（Apache）或 nginx.conf（Nginx）里是否有异常重写规则，把非 PHP 请求转给 PHP 解析
• 运行 grep -r "base64_decode\|eval\|assert\|system(" /var/www/html/ --include="*.php"，但注意：PHP 8.0 已移除 create_function() 和 assert() 字符串执行，所以这类特征可能失效，要补查 __autoload、unserialize、phar:// 调用点
• 上传目录务必禁用 PHP 执行：Nginx 加 location ~ ^/uploads/.*\.php$ { return 403; }；Apache 加 <files> Require all denied </files>
立即学习“PHP免费学习笔记（深入）”；
加固上传流程本身
修复不能只靠“不让传 PHP”，而要分层设防：
• 上传后强制重命名（如用 UUID + 时间戳），丢弃原始文件名
• 对上传文件做内容检测：用 getimagesize() 验证图片，用 finfo_file() 查真实 MIME，拒绝非预期类型
• 上传目录设置为不可执行、不可写（仅 Web 服务器用户可写，且禁止组/其他用户权限）
• 若业务真需上传可执行脚本（极少见），应单独部署沙箱环境，与主站完全隔离
