网站运行出现异常，通常并非毫无缘由，当你察觉到页面遭篡改，或者CPU急剧飙升，甚至服务器主动向外进行连接时，这表明源码极有可能被人留下了后门，此类攻击具有很强的隐蔽性，然而只要你依照步骤展开排查，便能够揪出问题的所在。
立即排查高危函数调用
想要控制服务器的后门程序而言，其必备通过PHP内置的、用于执行系统命令或者代码的函数，其中最具典型性的当属eval函数，该函数能够将字符串当作PHP代码予以执行，是作为选择后门的工具。
运用grep命令，于网站的根目录之中展开对eval的搜索，此项命令乃是grep -r"eval" ./ --include="*.php" ，着重去查看那些历经编码混淆处理的代码，像是在一大串呈现为乱码状态的字符之后紧随着eval，这般情形显著是意在施行对真实意图的隐藏。
对比原始文件找篡改痕迹
会对文件作出修改的攻击者，必然是会留下相应痕迹的。将你网站起初上线之际所做的备份拿出来，运用diff工具对文件内容逐个展开对比。对于那些修改时间呈现异常状况的php文件要格外予以留意，像是在凌晨三点出现被改动情况的那种。
有许多后门会将自身伪装成正常的文件名，比如说把那个被称作后门的东西命名为xml.php，又或者是index.php.bak。这些文件混杂在正常的代码当中，很难凭借一眼就发现，但是借助对比的方式就能够把它们给揪出来。
使用专业工具扫描后门特征
由着手动进行排查的时候往往都会存在着遗漏的情况，所以在这样的时刻就应当启用专业的工具了。D盾算作是那在Windows系统之下常常会被运用的后门扫描工具，它具备着识别几千种晓得已有的Web Shell特征的能力。Linux服务器能够借助LMD，LMD也同样是属于那种开源且免费提供的扫描方面的锐利工具。
扫描的结果之中，会将高危文件罗列出来，着重去留意那些代码，代码里同时出现了$_POST，还有eval或者system。这样的一种组合所代表的意义是，攻击者能够借助POST请求去发送任意的命令，这情况就好比是把服务器的控制权毫无保留地交给别人了。
检查权限设置和隐藏文件
出于保住后门的目的，攻击者常将文件权限设置为777，如此一来，任何人皆可进行修改与执行操作。运用ls -la这个命令去查看所有文件，其中涵盖隐藏文件，尤其要留意那些以点作为开头的php文件。
往上传的目录常常是问题严重的区域，核查一下uploads这类的目录是不是防止了PHP的执行。要是没有进行限制，攻击者上传一张图片马就能够直接运行，这可是十分危险的安全方面的漏洞。
分析日志捕捉异常行为
日志乃是后门活动的直接证据，去打开nginx的访问日志，或者打开apache的访问日志，接着搜索POST请求的记录，正常的网站POST请求不会太多，要是某个php文件频繁地接收POST数据，那么八成是有问题的。
观察来源IP是颇为关键之处，同一IP对几个小体积php文件作出集中请求，并且user-agent杂乱无章，这显著地是自动化工具于操作后门。若错误日志当中呈现大量文件找不到的记录，亦可认为有可能是后门在尝试去执行并不存在的命令。
对你来说，在排查网站后门的状况之际历经的那种最超乎寻常、奇特诡异且令人感到匪夷所思的情形究竟是什么呢？欢迎于评论的区域之内去分享描述你个人所拥有的相关经历，对本文进行点赞的行为并收藏这篇文本会便利你随时能够去进行查阅，把它转发给身旁的站长这一类的朋友能够促使他们也增添一份警惕之心。
还没有评论，来说两句吧...