webshell常藏于.inc、.bak、.log等易被忽略后缀及无后缀文件中，大量使用base64_decode、gzinflate等函数绕过静态检测，且多通过变量污染（如$_post）和异常文件行为（如mtime突变、immutable属性）暴露。
直接结论：别只盯着.php后缀，Webshell常藏在.inc、.bak、.swp、.log甚至无后缀文件里，且大量使用base64_decode、gzinflate、str_rot13等绕过静态检测。
查哪些文件名和后缀容易被忽略
攻击者早就不把木马起名叫shell.php了。常见伪装包括：
-
config.inc、class.db.php.bak、index.php~（vim临时文件） -
.user.ini（PHP配置劫持）、.htaccess（重写规则注入） -
error.log、access.log（日志型Webshell，用file_get_contents读取并eval） - 完全无后缀的文件，如
cache、tmp，但内容是<?php @eval($_POST[1]);?>
执行命令时别只用find ./ -name "*.php"，得覆盖更广：
find ./ -type f \( -name "*.php" -o -name "*.inc" -o -name "*.bak" -o -name "*.log" -o -name ".htaccess" -o -name ".user.ini" \) -size -1M 2>/dev/null
-size -1M能快速筛掉大体积的正常日志或资源文件，聚焦可疑小文件。
为什么grep "eval("会漏掉90%的Webshell
现代Webshell基本不用明文eval(。它们用：base64_decode解密后再eval；gzinflate解压再assert；甚至用create_function动态构造函数。单纯搜eval几乎无效。
更有效的组合是：
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
grep -r "base64_decode\|gzinflate\|str_rot13\|create_function" ./ --include="*.php" --include="*.inc" 2>/dev/null-
grep -r "@\$_.*POST\|@\$_.*GET\|@\$_.*REQUEST" ./ --include="*.php" 2>/dev/null（关注变量污染入口） -
grep -r "file_get_contents\|fopen.*w\|fwrite" ./ --include="*.php" 2>/dev/null（找日志型或自写入型）
注意：@前缀常用来抑制报错，是高频特征；$_POST[1]这类数字键也比$_POST['a']更常见于哥斯拉、冰蝎等工具生成的shell。
怎么识别“免杀”Webshell的异常行为
静态扫描总有盲区。真正可靠的线索来自运行时行为和上下文异常：
- 查看该文件的
mtime和atime是否远晚于同目录其他文件（比如整个include/目录都是2025年创建，唯独db.conf.inc是2026年9月27日凌晨3点） - 检查
ls -la输出中是否有隐藏文件（以.开头）、权限异常（如-rwxr-xr-x但属主是www-data） - 对比
access.log，看这个文件是否被高频访问，且POST体极短（如只有a=xxx），响应状态却是200 - 用
stat db.conf.inc确认是否被chattr +a或+i锁住——这是不死马常用手法
一个真实案例：某靶场中.Mysqli.php是隐藏Webshell，名字模仿系统类，但stat显示它被设置为immutable，普通rm删不掉，这就是关键破绽。
排查时最常踩的三个坑
实际动手时，这几个点最容易翻车：
- 在没备份的情况下直接
rm -f可疑文件——必须先cp一份到安全路径，再chmod 000隔离，否则取证链断裂 - 用
root身份跑find和grep，结果被Rootkit劫持的find返回伪造结果——应优先用/usr/bin/find绝对路径，或从Live CD挂载排查 - 忽略
/var/www/html之外的路径——比如/var/www/backup/、/tmp/.cache/、/home/wwwroot/，攻击者常选非标准目录上传
最后提醒一句：Webshell不是孤立存在的。找到一个，立刻查它的HTTP Referer、关联的crontab、以及/proc/[pid]/environ（如果进程还在运行），否则清理完半小时又被复活。
