PHP文件包含漏洞导致服务器沦陷的应对策略-php教程-PHP中文网

必须立即阻断攻击链、控制影响范围并启动溯源加固：一、禁用allow_url_include/allow_url_fopen及include/require函数；二、排查并清除含eval/base64_decode等特征的恶意PHP文件；三、配置open_basedir、白名单映射和路径规范化校验；四、关闭display_errors、expose_php并删除phpinfo页面。

php文件包含漏洞导致服务器沦陷的应对策略

发现PHP文件包含漏洞已导致服务器沦陷，必须立即阻断攻击链、控制影响范围，并启动溯源与加固。这不是单纯修代码的问题，而是涉及应急响应、权限清理和配置封堵的组合动作。

一、立刻切断文件包含执行通道

攻击者很可能正通过include/require加载Webshell或恶意脚本。优先从PHP运行层阻断：

编辑php.ini，将allow_url_include和allow_url_fopen两项设为Off，防止远程文件包含（RFI）继续生效
在disable_functions中追加include, include_once, require, require_once（注意：仅限紧急隔离阶段使用，长期禁用会影响正常逻辑，后续需替换为安全方案）
若使用Nginx+PHP-FPM，临时注释fastcgi_param PHP_VALUE "allow_url_include=off"并重载服务

二、定位并清除已植入的恶意文件

攻击者常将一句话木马、大马或日志型后门写入可写目录。重点排查以下位置：

搜索含典型特征的PHP文件：grep -r "eval.*base64_decode\|assert.*base64_decode\|file_get_contents.*http\|include.*\$_" /var/www/html/ --include="*.php" -n
检查上传目录、缓存目录、日志目录（如/var/log/apache2/）中是否存在异常.php或.txt文件，尤其注意文件名伪装成1.jpg.php或带%00截断痕迹的请求记录
用find /var/www/html -type f -name "*.php" -mtime -3快速列出近3天新增的PHP文件，人工核验内容

三、限制文件访问边界，防止路径遍历

即使漏洞代码未修复，也能大幅压缩攻击面：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

设置open_basedir，限定PHP只能访问指定路径，例如：open_basedir = "/var/www/html:/tmp:/var/log"，确保不包含系统敏感路径
检查所有include调用点，把动态拼接改为白名单映射，例如：$pages = ['home' => 'home.php', 'about' => 'about.php']; include($pages[$_GET['page']] ?? 'home.php');
对用户传入的路径参数做规范化处理：realpath() + str_starts_with()校验是否仍在允许目录内，拒绝任何跳出根目录的尝试