发现PHP网站异常需排查恶意后门，首先使用PHP-Backdoor-Finder等工具扫描含eval、assert等危险函数的文件；接着通过grep命令手动搜索system、exec等高风险调用并分析上下文；再利用YARA规则匹配复杂WebShell特征；最后清理确认的后门代码或文件，优先备份取证，必要时以版本库干净副本替换被篡改文件。
如果您在维护PHP网站时发现异常行为，如页面被篡改、恶意跳转或服务器资源异常占用，可能是由于恶意后门代码植入。以下是针对PHP源码中隐藏后门的扫描与清理方法：
一、使用专业工具扫描PHP后门
借助自动化工具可以快速识别可疑代码片段，提升检测效率。这些工具通过匹配已知后门特征码、危险函数调用模式来定位潜在威胁。
1、下载并部署开源项目如PHP-Backdoor-Finder，将其上传至服务器运行。
2、通过命令行执行扫描指令：php scan.php /path/to/your/webroot，工具将列出包含eval、assert、base64_decode等高风险函数的文件路径。
立即学习“PHP免费学习笔记（深入）”；
3、检查输出结果中的文件名和行号，重点关注伪装成图片或配置文件的PHP脚本。
二、手动审查关键函数调用
许多后门依赖特定PHP函数实现远程代码执行，通过搜索这些函数可发现隐蔽植入点。
1、登录服务器并通过grep命令查找含有危险函数的文件：grep -r "eval\|assert\|system\|exec\|shell_exec\|passthru" /var/www/html/ --include="*.php"。
2、对返回结果逐个分析上下文，判断是否为正常业务逻辑调用还是恶意注入。
3、特别注意经过编码混淆的代码段，例如包含gzinflate、str_rot13、base64_decode嵌套调用的情况。
三、利用YARA规则进行深度检测
YARA是一种模式匹配工具，适用于识别复杂且变形的恶意代码结构。
1、安装yara及yara-php扩展，确保环境支持规则引擎运行。
2、导入公开的WebShell检测规则集，例如从Yara-Rules/rules仓库获取webshells.yar。
3、执行命令：yara -r webshells.yar /var/www/html/，系统将标注出符合恶意模式的PHP文件。
四、清理确认后的后门文件
一旦确定文件包含恶意代码，应立即采取措施清除威胁，防止进一步扩散。
1、备份原始文件用于后续分析取证，避免误删导致数据丢失。
2、删除整行或整个代码块中包含恶意payload的部分，若无法准确剥离，则直接移除该文件。
3、对于被篡改的合法文件，使用版本控制系统中的干净副本替换当前文件。
