发现网站异常时，应首先检查PHP源码中是否含有eval、assert等高危函数调用，尤其是参数来自用户输入的情况；1、通过全局搜索定位可疑函数及混淆代码中的解码行为；2、使用find和ls命令排查近期修改或权限异常的文件；3、分析Web日志中含base64编码或cmd关键字的请求；4、利用maldet等工具对网站目录进行自动化扫描；5、检查php.ini配置中auto_prepend_file等项是否被篡改，并审查非官方扩展模块。
如果您发现网站存在异常行为，例如页面被篡改、服务器资源占用异常或出现不明跳转，则可能是PHP源码中植入了后门。以下是查找PHP源码后门痕迹与检测方法的具体操作步骤：
一、检查可疑的PHP函数调用
恶意后门通常依赖特定的高危函数执行系统命令或动态代码。通过搜索这些函数在源码中的使用情况，可以快速定位潜在风险点。
1、使用文本编辑器或IDE的全局搜索功能，查找以下函数：eval、assert、system、exec、shell_exec、passthru、popen、proc_open。
2、重点审查出现在非常规位置的上述函数调用，尤其是参数来自用户输入（如$_GET、$_POST）的情况。
立即学习“PHP免费学习笔记（深入）”；
3、对混淆代码中出现的base64_decode、gzinflate、str_rot13等解码函数也需特别关注，可能用于隐藏恶意payload。
二、扫描文件时间戳与权限异常
攻击者上传后门文件时会改变文件的修改时间和权限设置。通过对比文件的时间戳和权限属性，可识别出异常文件。
1、进入网站根目录，使用命令 find . -type f -name "*.php" -mtime -7 查找最近7天内被修改过的PHP文件。
2、结合 ls -la 命令查看文件权限是否为非标准配置，如666或777权限的PHP脚本应引起警惕。
3、将当前文件列表与版本控制系统（如Git）中的记录进行比对，确认是否存在未授权的新增或变更文件。
三、分析Web日志中的异常请求
后门文件往往通过特定URL路径被触发执行。分析访问日志可以帮助发现可疑的请求模式。
1、打开Apache或Nginx的access.log文件，筛选包含.php的请求行。
2、查找带有长参数、base64编码字符串或特殊关键字（如cmd、exec、eval）的URL请求。
3、统计高频访问但无对应业务逻辑的PHP文件，例如名为upload.php、cache.php但不在项目文档中的文件。
四、使用专业工具自动化检测
借助开源安全工具可提高检测效率，避免人工遗漏复杂混淆的后门代码。
1、下载并部署PHP后门扫描工具，如LMD（Linux Malware Detect）或rkhunter。
2、运行命令 maldet --scan-all /var/www/html 对整个网站目录进行深度扫描。
3、导出检测报告，并根据提示逐一验证标记为可疑的文件内容。
五、检查PHP配置与扩展异常
某些后门通过修改php.ini配置或加载自定义扩展实现持久化驻留，需检查运行环境本身是否被篡改。
1、查看当前生效的php.ini路径，使用 php --ini 确认配置文件位置。
2、检查auto_prepend_file 和 auto_append_file 是否设置了未知脚本，这类配置可在每个PHP文件前自动包含恶意代码。
3、审查extension_dir 目录下是否存在非官方扩展模块，特别是命名模糊的.so文件。
