应禁用PHP危险函数、配置open_basedir、部署ModSecurity WAF、限制Web目录执行权限、启用错误日志并关闭前端显示，以多层防护阻断Webshell植入与执行。
如果您的PHP项目已部署上线，但存在被植入Webshell的风险，则很可能是由于危险函数未禁用或缺少网络层防护。以下是针对该问题的多种防护部署步骤：
一、禁用PHP危险函数
禁用高危内置函数可直接阻断多数Webshell的核心执行能力，防止攻击者调用系统命令或动态执行代码。此操作需修改php.ini配置文件并重启PHP服务。
1、使用文本编辑器打开php.ini文件，定位到disable_functions配置项。
2、在原有值后追加以下函数名，确保各函数间以英文逗号分隔：exec,passthru,shell_exec,system,proc_open,popen,eval,assert,symlink,link,chmod,chown,chgrp,fopen,fwrite,fread,file_put_contents,unlink,directory_iterator,scandir。
3、确认allow_url_include和allow_url_fopen均已设置为Off，防止远程文件包含与加载。
4、保存文件后，重启Web服务器（如Nginx或Apache）及PHP-FPM进程，使配置生效。
二、配置open_basedir限制脚本访问路径
通过open_basedir强制限定PHP脚本只能访问指定目录树，可有效遏制Webshell进行目录遍历、读取敏感配置文件或写入恶意脚本的行为。
1、在php.ini中添加或修改open_basedir参数，例如：open_basedir = /var/www/html:/tmp。
2、若使用PHP-FPM，可在对应pool配置文件（如www.conf）中添加：php_admin_value[open_basedir] = /var/www/html:/tmp。
3、确保上传目录（如upload/）不包含在open_basedir允许路径内，或单独为其设置更严格的限制路径。
4、重启PHP-FPM服务验证配置是否加载成功。
三、部署ModSecurity Web应用防火墙
ModSecurity作为开源WAF，可在请求到达PHP解释器前拦截含Webshell特征的恶意HTTP流量，实现网络层主动防御。
1、安装ModSecurity模块及配套规则集（如OWASP CRS），在Nginx或Apache中启用。
2、配置核心规则，启用对eval(、base64_decode(、file_put_contents(等典型Webshell函数调用模式的正则匹配拦截。
3、添加自定义规则，阻止URL中包含.php?.*=或POST内容含等高风险组合的请求。
4、将ModSecurity运行模式设为SecRuleEngine On，并启用审计日志记录所有拦截事件至独立文件。
四、限制Web服务器目录执行权限
即使PHP脚本被上传至服务器，若其所在目录不具备PHP解析权限，Webshell将无法被执行，从而切断攻击链最后一环。
1、在Nginx配置中，针对上传目录（如location ~ ^/uploads/.*\.php$）添加deny all;指令。
2、在Apache配置中，于上传目录的.htaccess文件中加入：php_flag engine off 或
3、使用chmod命令移除上传目录的执行权限：chmod -x /var/www/html/uploads。
4、确认Web服务器用户（如www-data）对上传目录仅有rw权限，无执行及跨目录访问能力。
五、启用PHP错误日志并关闭前端显示
隐藏错误信息可防止攻击者利用报错内容探测服务器结构、路径及组件版本，降低指纹识别成功率。
1、在php.ini中将display_errors设置为Off，避免向浏览器输出任何错误详情。
2、将log_errors设为On，并指定error_log路径，例如：error_log = /var/log/php_errors.log。
3、确保日志目录权限为640，所属用户为root:www-data，防止Web进程写入或读取日志文件。
4、定期检查日志中是否存在大量fopen()、file_get_contents()失败记录，识别潜在扫描行为。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
