发现PHP源码中存在后门时，应立即采取措施清除恶意代码并加固系统安全。首先使用D盾、河马等Webshell查杀工具对网站目录进行全盘扫描，识别并隔离标记为“疑似Webshell”的高危文件；随后通过代码编辑器全局搜索eval、assert、system等危险函数，结合上下文分析其调用合理性，重点排查上传目录或空白文件中的混淆代码；同时检查文件属性，筛选近期修改且命名异常的PHP文件，如phpinfo.php、shell.php等，并排查隐藏文件和双扩展名文件；对于WordPress等开源程序，可下载官方原包替换同路径下的污染文件，保留配置数据仅覆盖功能代码；最后加强权限控制，禁止非入口目录的PHP执行权限，分离可写目录与执行目录，设置open_basedir限制，并定期审计访问日志，筛查含eval、cmd等关键字的异常请求，全面提升防御能力。
如果您发现PHP源码中可能存在后门或恶意代码，通常是因为网站被植入了隐蔽的木马程序，这些后门可能通过eval、base64_decode、assert等函数执行恶意操作。以下是针对PHP源码进行查杀与清理的具体方法：
一、使用专业工具扫描后门
借助自动化查杀工具可以快速识别常见的Webshell和隐藏后门，提高检测效率并减少人工遗漏。
1、下载并部署开源安全扫描工具，例如D盾、河马Webshell查杀、Safe3 WebShell Scanner等本地客户端。
2、将网站目录完整导入到查杀工具中，启动全盘扫描模式。
立即学习“PHP免费学习笔记（深入）”；
3、等待工具分析完成，重点关注高危文件路径和标记为“疑似Webshell”的结果项。
4、逐一审查可疑文件内容，确认是否为合法业务逻辑代码，避免误删正常功能文件。
二、手动检查关键危险函数调用
许多PHP后门依赖特定函数执行系统命令或动态代码，通过搜索这些函数的使用痕迹可定位潜在威胁。
1、在代码编辑器中打开项目根目录，启用全局文本搜索功能。
2、依次搜索以下敏感函数：eval、assert、system、exec、passthru、shell_exec、popen、proc_open。
3、检查每个匹配项的上下文环境，判断其用途是否合理，如用于配置解析或模板渲染则可能是正常的，若出现在上传目录或空白文件中则高度可疑。
4、对包含混淆编码（如base64字符串拼接后执行）的语句重点分析，尝试解码查看原始指令内容。
三、查找异常文件和时间戳规律
攻击者上传的后门文件往往具有命名异常或修改时间集中等特点，可通过文件属性发现线索。
1、列出网站目录下所有PHP文件的详细信息，包括文件名、大小、最后修改时间。
2、筛选出最近七天内创建或更改的PHP文件，尤其是名称类似phpinfo、shell、up、temp等简短词汇的文件。
3、对比版本控制系统中的记录（如有），找出未纳入管理的新增文件。
4、检查是否存在以点开头的隐藏文件（如.htaccess.php）或双扩展名伪装文件（如image.jpg.php），这类命名常用于绕过过滤机制。
四、替换已知污染文件
对于从官方渠道获取的开源程序（如WordPress、Discuz、ThinkPHP），可直接替换受感染的核心文件以确保干净。
1、确认当前使用的程序版本号，前往官方网站下载对应原始包。
2、提取压缩包中同路径下的相同文件，覆盖服务器上对应的PHP文件。
3、特别注意常见入口文件如index.php、config.php、common.php等是否被篡改。
4、保留自定义配置部分的数据，仅替换非必要的功能性代码段，防止丢失个性化设置。
五、加强权限控制与日志审计
限制脚本执行权限和访问范围能有效降低后门运行成功率，并便于后续追踪攻击来源。
1、设置Web目录中非入口目录的PHP执行权限为禁止，例如通过.htaccess添加deny from all规则。
2、将可写目录（如uploads、cache）与代码执行目录分离，避免上传文件被直接访问执行。
3、开启PHP的open_basedir限制，约束脚本只能访问指定目录。
4、定期导出Web访问日志，使用日志分析工具筛查高频访问的异常URL请求，特别是带有参数调用eval或cmd关键字的情况。
