发现PHP文件异常需立即检测，一、用md5_file比对原始与当前文件哈希值判断是否被改；二、用preg_match扫描eval、assert、base64_decode等危险函数关键词；三、分析语法结构，查gzinflate(base64_decode()、长串拼接、超长单行等混淆特征；四、检查filemtime时间戳与substr(fileperms, -4)权限，排除777或异常修改时间；五、通过git status与git diff比对版本库，识别非授权改动，确保代码完整性。
如果您发现网站中的PHP文件被解密后存在异常行为或疑似被恶意篡改，可能是攻击者通过解密加密的PHP代码植入了后门。为了保障系统安全，需要对可疑文件进行完整性检测与内容比对。以下是几种实用的检测方法：
一、基于文件哈希值校验
通过计算原始文件和当前文件的哈希值（如md5或sha1），可以快速判断文件是否被修改。该方法适用于已知正常版本文件的情况。
1、获取原始PHP文件的哈希值并保存到安全位置，例如：
md5_file('original/config.php') 得到标准值。
2、在待检测环境中读取同名文件的哈希值：
md5_file('current/config.php')。
立即学习“PHP免费学习笔记（深入）”；
3、将两个哈希值进行比较，若不一致，则说明文件已被篡改。
二、关键词模式匹配检测
许多解密后的恶意PHP文件会包含典型的危险函数调用，可通过正则表达式扫描这些特征字符串来识别潜在威胁。
1、定义一组高风险函数关键词数组，例如：
eval, assert, system, exec, shell_exec, passthru, base64_decode, gzinflate。
2、使用file_get_contents读取目标PHP文件内容。
3、利用preg_match函数检查是否存在上述关键词：
preg_match('/(eval|assert|base64_decode\()/i', $content)。
4、一旦匹配成功，立即标记该文件为可疑，并记录路径与时间。
三、语法结构异常分析
经过加密或混淆的PHP文件通常具有非常规的语法结构，比如大量使用字符串拼接执行代码、动态函数调用等，可通过解析AST或简单文本分析识别异常模式。
1、读取PHP文件内容并去除注释和空白字符，简化分析环境。
2、检测是否存在连续多层嵌套的base64_decode与gzinflate组合调用，例如：
gzinflate(base64_decode( 是典型加密壳特征。
3、查找长串随机命名变量赋值行为，如：
$a = "x" . "y" . "z"; @eval($a); 这类构造常用于绕过静态检测。
4、统计单行代码长度，超过一定阈值（如2000字符）应视为高度可疑。
四、文件时间戳与权限检查
文件的修改时间和访问权限是判断是否被篡改的重要辅助依据，异常的时间变动可能意味着非法写入。
1、使用filemtime函数获取文件最后修改时间：
filemtime('check/file.php')。
2、对比该时间是否早于最近一次合法部署时间，若不符合则需深入核查。
3、检查文件权限设置是否合理，例如755或644，避免出现777等危险权限：
substr(sprintf('%o', fileperms('file.php')), -4)。
4、若权限异常或时间戳被重置，应立即隔离该文件并启动审计流程。
五、与版本控制系统比对
如果项目使用Git等版本管理工具，可直接通过差异比对确认文件是否被非授权修改。
1、进入项目根目录，运行命令：
git status 查看哪些PHP文件处于修改状态。
2、对显示修改的文件执行：
git diff --cached path/to/file.php 显示具体变更内容。
3、若更改中包含不可信代码段或无法解释的插入内容，应拒绝提交并清除改动。
4、定期从可信远程仓库拉取基准代码并自动比对本地副本，及时发现偏移。
