php后门清理不能仅删文件，须层层验证：先定位时间/行为/位置异常的可疑文件，再人工确认内容、权限、调用链及配置劫持，接着排查数据库钩子、定时任务、ssh入口和opcode缓存，最后禁用危险函数、隔离站点权限并核验核心文件哈希。
PHP后门文件不能靠“删一个shell.php”就叫清理干净——它往往藏在业务文件末尾、数据库配置项里、Web服务器规则中，甚至通过定时任务自动复活。深度清理的关键不是动作多，而是层层验证、交叉比对、阻断执行路径。
先定位：别只搜文件名，重点看三类异常
后门常伪装成正常文件，比如wp-config.php.bak、cache_2024.php、footer-new.php，或混进主题的functions.php末尾。真正要盯的是：
-
时间异常：用
find /var/www -name "*.php" -mtime -7 -ls找近7天被改过的文件，再用stat -c "%y %z %n" 文件名对比Modify（修改）和Change（属性变更）时间——Change更晚说明时间戳被伪造过 -
行为异常：搜
eval($、base64_decode($_、assert($_POST这类“变量入参+高危函数”的组合，而不是单独搜eval（会误报模板引擎） -
位置异常：重点关注
/uploads/、/cache/、/wp-content/plugins/、/themes/*/这些可写目录下的孤立PHP文件，尤其名字像1.php、z.php、.env.php的
再验证：不运行也能看出是不是后门
发现可疑文件别急着删，先做四步人工确认：
-
看开头几十行：用
head -n 20 xxx.php，典型一句话后门第一行往往是<?php @eval($_POST['x']);?>，或含长base64字符串、@ini_set('error_reporting',0)等隐藏错误提示的代码 -
查属主和权限：用
ls -la xxx.php，后门常属www-data或nobody，但创建时间远早于同目录其他文件；权限为777或属主是root但网站跑在www-data下，也高度可疑 -
临时重命名观察：
mv shell.php shell.php.off，重启PHP-FPM，访问原路径是否报错——没影响基本可判为后门；若报错，说明被其他脚本include，得顺藤摸瓜查调用链 -
检查是否被配置劫持：运行
php -i | grep auto_prepend_file，看有没有指向未知脚本；翻.htaccess、nginx.conf、php.ini，确认没加php_value auto_prepend_file或RewriteRule转发到恶意路径
后门不止在PHP文件里：必须查这四个隐蔽层
删完webroot下的文件只是第一步，90%复发案例都漏了下面这些地方：
-
数据库钩子：WordPress要查
wp_options表，执行SELECT * FROM wp_options WHERE option_value LIKE '%eval%' OR option_value LIKE '%base64%' OR option_name LIKE 'theme_mods_%';，尤其警惕active_plugins被注入恶意插件路径 -
定时任务：查
crontab -u www-data -l（当前PHP用户）、ls /etc/cron.d/、cat /var/spool/cron/crontabs/* 2>/dev/null，留意每分钟wget新shell或curl回传数据的任务 -
SSH层面入口：搜
grep -r "ssh-rsa\|ssh-ed25519" /home/*/\.ssh/authorized_keys 2>/dev/null，查非系统用户（awk -F: '$3 >= 1000 {print $1}' /etc/passwd），看其~/.bashrc或~/.profile是否追加了恶意命令 -
opcode缓存与临时目录：执行
opcache_reset()或重启php-fpm清掉已编译的恶意代码；检查/tmp/、/var/tmp/下是否有伪装成.systemd或run.sh的持久化脚本
删完不是结束：堵漏洞比删文件更重要
清理完若不修复入口，几小时内就会重新出现。必须立刻做三件事：
-
禁用危险函数：在对应PHP-FPM池配置中加
php_admin_value[disable_functions] = system,exec,passthru,shell_exec,proc_open,popen,pcntl_exec（注意pcntl_exec常被忽略） -
隔离多站点权限：每个站点用独立系统用户（如
adduser sitea --shell /usr/sbin/nologin），配独立open_basedir和session.save_path，避免一个站沦陷拖垮全部 -
升级并核验核心文件：WordPress用
wp core verify-checksums；ThinkPHP、Laravel等框架下载官方源码，用sha256sum比对index.php、vendor/autoload.php等关键文件哈希值
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
