周期性比对web应用文件哈希值是发现隐蔽后门最基础有效的手段；推荐sha-256用于核心目录、md5初筛静态资源；需构建干净基线并排除uploads/cache/wp-config.php等干扰项；脚本应集成告警、隔离、git比对与监控闭环。
直接用自动化脚本周期性比对 Web 应用文件哈希值，是发现隐蔽后门最基础也最有效的手段之一。它不依赖日志分析或行为监控，而是从文件系统层面守住最后一道防线——只要文件被篡改（比如被植入 Webshell、恶意插件或混淆脚本），哈希值就会变化，从而触发告警。
选对哈希算法和校验工具
MD5 虽然计算快、兼容性好，但已不适用于安全敏感场景，因其存在碰撞风险；推荐使用 SHA-256 或 SHA-3。实际部署中可兼顾效率与安全性：对核心目录（如 /wp-admin/、/wp-includes/、主题和插件主文件）用 SHA-256；对大量静态资源（CSS/JS/图片）可用 MD5 做快速初筛。
工具方面，miniMD5 是轻量绿色方案，适合手动抽查或单机巡检；生产环境建议用系统原生命令（sha256sum）配合脚本，无需安装依赖，稳定可靠。
构建可信基线并排除干扰项
首次生成基线前，必须确保当前站点处于“干净状态”：确认无未授权修改、插件已更新至最新版、主题为官方源码、临时文件和缓存已清空。否则基线本身就有毒。
以下目录和文件应明确排除在比对范围外：
-
wp-content/uploads/（用户上传内容天然可变） -
wp-content/cache/、.log、.tmp类临时文件 -
wp-config.php（含数据库凭证，通常需单独管理） - 版本控制文件（
.git/、.svn/）
用 find 配合 -path 和 -prune 可精准跳过，避免误报。
编写可落地的周期比对脚本
一个典型 Bash 脚本逻辑如下（以 WordPress 为例）：
- 用
find /var/www/html -type f -name "*.php" -o -name "*.js" -o -name "*.html" | xargs sha256sum > current.sha256生成当前快照 - 用
diff -q baseline.sha256 current.sha256对比，仅输出差异行 - 若有差异，自动记录变更文件路径、时间戳，并触发邮件或 Slack 告警
- 将新快照覆盖旧 baseline（或保留带时间戳的多个 baseline 供回溯）
建议通过 cron 每日凌晨 2 点执行：0 2 * * * /opt/scripts/integrity-check.sh > /dev/null 2>&1。关键路径加锁（flock）防止并发冲突。
集成进运维闭环，不止于“发现”
光有告警不够。理想流程应自动联动：
- 发现异常 PHP 文件时，调用
file和strings初步判断是否为 Webshell（如含eval(、system(、base64_decode） - 结合 Git 记录比对：若该文件在代码仓库中不存在，大概率是非法上传
- 自动隔离可疑文件（重命名 + 移出 Web 目录），并通知负责人人工复核
- 将结果写入统一监控平台（如 Prometheus + Grafana），形成完整性健康分趋势图
这一步把“文件变了”转化成“谁改的、怎么改的、要不要拦”，让防御真正闭环。
