检测php2shell漏洞（cve-2026-109618）主要依靠检查web服务器日志中是否存在针对特定恶意文件扩展名（如.php5、.pht、.phar）的异常请求，以及扫描代码库中是否包含允许用户控制文件上传路径或后缀的配置。修复该漏洞的核心做法是禁用apache/nginx中对非标准php扩展名的解析，并在php配置中严格限制可执行的文件类型，同时确保上传功能不直接暴露原始文件名给解释器。
如何识别针对.pht和.phar文件的攻击尝试
攻击者通常利用Web服务器将未知扩展名传递给PHP处理器的特性，通过上传名为shell.pht或shell.phar的文件来执行恶意代码。检测的关键在于监控访问日志中这些特定后缀的请求，特别是当它们出现在上传目录或临时目录下时。如果发现大量404错误后紧跟200状态码，或者请求头中包含异常的User-Agent，这往往是自动化扫描工具在探测漏洞的迹象。此外，检查服务器上是否存在未授权的可执行PHP脚本也是重要的排查步骤。
<?php
// 模拟检测脚本：扫描日志中的可疑请求
$logFile = '/var/log/apache2/access.log';
$suspiciousExtensions = ['.pht', '.phar', '.php5', '.phtml'];
$lines = file($logFile, FILE_IGNORE_NEW_LINES | FILE_SKIP_EMPTY_LINES);
foreach ($lines as $line) {
foreach ($suspiciousExtensions as $ext) {
if (strpos($line, $ext) !== false && strpos($line, 'GET') !== false) {
echo "Suspicious request detected: " . trim($line) . PHP_EOL;
}
}
}
?>
如何通过Nginx配置阻止非标准PHP扩展解析
在Nginx环境中，默认配置可能不会自动拒绝非标准的PHP扩展，导致攻击者可以利用这一点。修复方法是在Nginx配置文件中明确定义哪些扩展名应该被FastCGI处理器处理，并拒绝其他所有请求。具体做法是修改`location ~ \.php$`块，将其改为更严格的匹配规则，例如只允许`.php`扩展名，或者使用`try_files`指令确保文件存在且类型正确。此外，还可以添加一个通用的拒绝规则，拦截任何试图通过非标准扩展名执行PHP代码的请求。
立即学习“PHP免费学习笔记（深入）”；
server {
listen 80;
server_name example.com;
root /var/www/html;
# 仅允许.php扩展名由PHP-FPM处理
location ~ \.php$ {
fastcgi_pass unix:/run/php/php-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
include fastcgi_params;
}
# 拒绝所有其他可能的PHP扩展名
location ~* \.(pht|phar|php5|phtml)$ {
deny all;
return 403;
}
}
上传功能中文件名过滤的具体实现问题
在开发自定义上传功能时，开发者经常忽略对文件扩展名的严格白名单校验，导致攻击者可以绕过简单的后缀检查。例如，如果代码仅检查文件名是否以`.jpg`结尾，而未考虑大小写或隐藏扩展名，攻击者仍可能上传`.JPG.php`等变体。修复这一问题的具体做法是使用PHP的`pathinfo()`函数提取扩展名，并将其转换为小写后进行严格比对，同时重命名上传文件为随机字符串，避免使用原始文件名。此外，还应设置`open_basedir`限制PHP脚本只能访问特定目录，进一步降低风险。
