首先查找包含eval、assert、base64_decode等危险函数调用的PHP文件，特别是参数来自用户输入的情况；接着通过文件修改时间、异常命名模式（如shell.php）和代码混淆特征识别可疑文件；最后结合grep命令、自动化工具（如LMD、ClamAV）进行批量扫描与深度分析。
如果您在维护或审计PHP网站时怀疑存在恶意后门，可能是攻击者植入了隐蔽的代码以长期控制服务器。以下是检测PHP源码中后门代码及其痕迹的具体方法：
一、查找常见PHP后门函数调用
许多PHP后门依赖特定的危险函数来执行系统命令或动态执行代码。通过搜索这些函数的调用可以快速定位可疑文件。
1、使用文本编辑器或命令行工具（如grep）全局搜索以下函数：eval、assert、system、exec、shell_exec、passthru、popen、proc_open、base64_decode。
2、重点关注同时出现base64_decode与eval的组合，例如：eval(base64_decode(...))，这通常是加密后门的典型特征。
立即学习“PHP免费学习笔记（深入）”；
3、检查函数参数是否来自用户输入变量，如$_GET、$_POST、$_REQUEST等，这类动态调用极有可能是后门入口。
二、分析异常文件创建时间与修改记录
后门文件通常会在短时间内被创建或修改，结合文件系统的时间戳可帮助识别可疑文件。
1、在Linux系统中使用命令 find /var/www/html -type f -name "*.php" -mtime -7 查找最近7天内修改过的PHP文件。
2、对结果中的文件按修改时间排序，重点关注非更新周期内突然出现或变更的文件。
3、比对版本控制系统（如Git）的历史记录，确认哪些文件未经过正常提交流程而直接出现在服务器上。
三、检测隐藏的Web Shell文件名模式
攻击者常使用具有伪装性的文件名来逃避检测，掌握常见的命名规律有助于发现潜在威胁。
1、搜索包含数字、随机字符和敏感词组合的文件，例如：shell.php、admin123.php、temp.php、cache.php、db.php。
2、查找以点开头的隐藏PHP文件，如 .config.php、.htaccess.php，可通过 ls -a 或 find 命令发现。
3、特别注意图像或其他静态资源目录下存在的PHP文件，如 uploads/photo.jpg.php 或 images/test.php，此类路径常被用于绕过上传限制。
四、审查代码中的异常编码与混淆结构
为了规避检测，后门代码常常采用编码、压缩或逻辑混淆手段，需深入解析其真实行为。
1、查找使用str_rot13、gzinflate、gzuncompress解压数据后再执行的代码段。
2、将类似 $a = "xxx"; $b = "yyy"; @${$a.$b} 的变量拼接方式标记为高风险，可能用于构造动态函数名。
3、遇到大量无意义变量名（如 $o, $_T, $__ ）及密集字符串操作时，尝试手动还原或使用PHP调试器逐步执行分析其最终输出。
五、利用自动化工具辅助扫描
借助专业安全工具可以提升检测效率并减少遗漏，适用于大规模项目审计。
1、部署开源工具如 LMD (Linux Malware Detect) 配合 ClamAV 进行特征匹配扫描。
2、使用专门针对PHP后门的检测脚本，如 webshell-scanner 或 DShield Web Scanner，批量分析目录中的可疑模式。
3、配置IDE或编辑器插件，在开发阶段实时提示危险函数调用，防止误引入恶意代码。
