排查php2shell漏洞利用的核心在于检查web目录中是否存在被篡改的恶意文件以及服务器进程是否异常。具体做法是立即停止web服务，使用`find`命令结合`grep`搜索包含危险函数（如`system`, `exec`, `passthru`）的php文件，并比对文件哈希值或修改时间与备份库的差异。同时，通过`netstat`和`ps`命令检查是否有非预期的网络连接或隐藏进程，以确认攻击者是否已获取系统权限。
如何定位被植入的后门文件
定位后门文件需要深入Web根目录，重点扫描包含动态执行代码的文件。通常攻击者会将恶意代码隐藏在正常的PHP文件中，或者创建名为`shell.php`、`cmd.php`等隐蔽文件。可以通过查找最近修改的文件或使用正则表达式匹配危险函数调用来缩小范围。
#!/bin/bash
# 定义Web根目录，请根据实际情况修改
WEB_ROOT="/var/www/html"
# 查找包含常见后门函数的PHP文件
# 注意：这可能会产生误报，需人工复核
echo "正在扫描可疑文件..."
find $WEB_ROOT -name "*.php" -type f -exec grep -lE '(system|exec|passthru|shell_exec|popen|proc_open)\s*\(' {} \; > /tmp/suspicious_files.txt
# 显示结果
cat /tmp/suspicious_files.txt
# 进一步检查这些文件的最后修改时间
while read file; do
echo "File: $file, Modified: $(stat -c %y "$file")"
done < /tmp/suspicious_files.txt
运行上述脚本后，重点关注那些不在正常版本控制范围内、且修改时间接近入侵时间的文件。如果文件内容包含混淆的代码（如`base64_decode`、`eval`），则极大概率为后门。对于确认为恶意的文件，应保留样本用于取证，然后从干净的备份中恢复或被安全删除。
立即学习“PHP免费学习笔记（深入）”；
如何检测系统层面的持久化痕迹
即使清除了Web目录中的后门，攻击者可能已在系统中留下持久化机制。需要检查定时任务（Cron）、启动项以及网络监听状态。PHP2Shell漏洞利用后，攻击者常会添加Cron job以定期下载新载荷或维持访问。
#!/bin/bash # 检查当前用户的Cron任务 echo "=== 当前用户Cron ===" crontab -l 2>/dev/null # 检查系统级Cron目录 echo "=== 系统Cron目录 ===" ls -la /etc/cron.d/ cat /etc/cron.d/* 2>/dev/null | grep -v "^#" | grep -v "^$" # 检查常见的启动脚本 echo "=== 启动脚本检查 ===" ls -la /etc/rc.local ls -la /etc/init.d/ | grep -v "^total" | grep -v "^d" # 检查异常的网络连接（监听端口） echo "=== 异常网络连接 ===" netstat -tulpn | grep LISTEN # 检查异常进程 echo "=== 异常进程 ===" ps auxf | grep -E "(nc|ncat|socat|python|perl)" | grep -v grep
执行上述检查脚本时，若发现未知的Cron条目、异常的监听端口（如非80/443的外部连接）或陌生的后台进程，应立即记录PID和网络连接信息。对于异常进程，使用`kill`终止并追踪其父进程。若发现持久化机制，需彻底清除相关配置，并考虑重置系统密码及SSH密钥，因为攻击者可能已获得root权限。
基于Web日志中特定HTTP请求的具体问题
通过分析Web服务器访问日志，可以还原攻击者的具体操作路径。例如，若日志中出现大量对`.php`文件的POST请求，且返回码为200但响应体为空或包含特定字符串，这通常是后门被激活的迹象。具体问题是：如何从日志中提取出所有疑似利用PHP2Shell漏洞的请求？
可以使用`awk`或`grep`工具过滤日志。假设使用Nginx或Apache的标准日志格式，可以搜索包含`POST`方法且URI指向可疑PHP文件的记录。以下命令可帮助提取此类请求：
# 假设日志文件为 access.log
# 提取所有POST请求到.php文件的行
grep "POST.*\.php" /var/log/nginx/access.log > /tmp/post_php_requests.txt
# 进一步筛选状态码为200的请求（表示执行成功）
grep " 200 " /tmp/post_php_requests.txt > /tmp/successful_exploits.txt
# 查看这些请求的IP地址分布
awk '{print $1}' /tmp/successful_exploits.txt | sort | uniq -c | sort -nr
该分析能识别出攻击源IP和被利用的具体文件。若发现同一IP频繁尝试不同文件名，表明攻击者在自动化扫描。此时应立即在防火墙层面封禁该IP，并审查被请求的文件是否确实存在后门。此步骤有助于评估入侵范围和影响程度，为后续加固提供依据。
