PHP8.0网站被攻击怎么排查防护-php教程-PHP中文网

php 8.0网站被攻需三层推进：先取证锁现场（查文件时间、日志、.user.ini等），再定位入口（上传目录、数据库注入、第三方组件），最后加固环境（关危险函数、禁远程包含、限制open_basedir、nginx禁执行、tp8路由与csrf强化）。

php8.0网站被攻击怎么排查防护

PHP 8.0 网站被攻击，不能只删文件或重启服务。真正有效的排查和防护，要分三层推进：先确认攻击痕迹是否还在，再定位入侵入口，最后加固运行环境与代码逻辑。关键不是“怎么清理”，而是“为什么会被打进来”。

一、快速取证：别急着删，先锁现场

发现异常（如首页跳转、后台无法登录、百度提示不安全）后，第一步不是覆盖备份，而是保留证据：

用 ls -la /www/wwwroot/your-site.com 查看可疑文件的修改时间——尤其关注凌晨2–5点集中变更的 .php、.js、.html 文件
导出最近24小时的 Nginx/Apache access.log，筛选含 POST /api/、GET /index.php?cmd=、user.ini 或高频 404 的 IP
检查站点根目录是否存在异常文件：.user.ini（是否被篡改为 open_basedir = /）、.htaccess（是否加了重定向规则）、phpinfo.php 或 shell.php
执行 ps aux | grep php-fpm 和 netstat -tulnp | grep :80，确认没有隐藏进程或异常端口监听

二、精准定位：三类高危路径重点扫

90% 的 PHP 入口漏洞集中在以下三处，按优先级逐项排查：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

文件上传功能：检查所有 upload/、images/、cache/ 目录，执行命令：
find /www/wwwroot -path "*/upload/*" -name "*.php" -size -50k -exec grep -l "eval\|base64_decode\|gzinflate" {} \; 2>/dev/null
若命中，用 head -n 20 文件路径 查看解密逻辑
数据库内容注入：导出 SQL，全局搜索 <script></script>、iframe src=、document.write、onerror=；特别注意 WordPress 的 wp_posts.post_content 或 ThinkPHP 的 article.content 字段
第三方组件漏洞：检查是否用了老旧插件（如 CKEditor 4.4.7、phpMyAdmin 4.8.0）、未更新的 Composer 包（composer show --outdated），以及 vendor/ 下有无可疑新增包（如 monolog/monolog 被替换成同名恶意包）

三、硬性加固：关死四道关键闸门

删完木马不加固，一周内必复发。必须落实这四项底层配置：

PHP 运行限制：进宝塔 → PHP 设置 → 配置修改，填满：
disable_functions = system,exec,passthru,shell_exec,proc_open,popen,assert,call_user_func,pcntl_exec
allow_url_fopen = Off、allow_url_include = Off
open_basedir = /www/wwwroot/your-site.com:/tmp/:/proc/
改完务必点「重启 PHP」，并用 php -i | grep disable 验证生效
Web 服务器防护：Nginx 中禁用上传目录执行权限：
location ~ ^/upload/.*\.php$ { deny all; }
Apache 则在对应目录 .htaccess 加：php_flag engine off
ThinkPHP 8 特定加固：关闭危险路由兜底，确保 config/app.php 中：
'url_route_must' => true（未定义的 POST 路径直接 404，不 fallback 403）
启用 CSRF 保护：'form_token' => true，所有 POST 路由加 ->option(['token' => true])
会话与错误控制：在 php.ini 中强制启用：
session.cookie_httponly = On、session.cookie_secure = On（HTTPS 环境下）、session.use_strict_mode = 1
display_errors = Off、log_errors = On、error_log = /www/wwwlogs/php_error.log

四、日常防御：两个低成本高回报习惯

技术手段只能防已知风险，持续防护靠机制：

每周执行一次自动扫描脚本（保存为 /root/check_malware.sh）：

#!/bin/bash<br>
  find /www/wwwroot -name "*.php" -size -50k -exec grep -l "eval\|base64_decode\|gzinflate\|file_get_contents.*http" {} \; 2>/dev/null >> /tmp/malware_report.log<br>
  echo "$(date)" >> /tmp/malware_report.log

加入 crontab：0 3 * * 0 /root/check_malware.sh