PHP寄生虫繁殖程序

凌晨三点，生虫我盯着服务器日志里那串诡异的繁殖十六进制字符，后背发凉。程序这不是生虫什么新型病毒，而是繁殖PHP程序里一段会自我复制的代码——它像寄生虫一样，在每次请求时悄悄改写自身，程序把宿主文件撑大，生虫直到把整个站点拖垮。繁殖

事情得从上个月说起。程序客户报修说官网打不开，生虫我SSH上去一看，繁殖index.php文件体积从2KB涨到了4.7MB。程序打开文件，生虫密密麻麻的繁殖eval(gzinflate(...))嵌套了十七层，像俄罗斯套娃。程序最操蛋的是，这段代码没有固定特征——每次解密出来的内容都不同，能根据服务器环境动态调整攻击策略。

这就是PHP寄生虫繁殖程序最阴险的地方：它不是传统意义上的静态后门，而是一个能自我进化的逻辑炸弹。核心原理其实不复杂，preg_replace配合/e修饰符，或者create_function这类动态执行函数，让代码在运行时解析并重组自身。但真正让人头疼的是它的繁殖机制——它会在每个可写的PHP文件头部插入一段混淆代码，这段代码本身又包含读取、解密、再写入的逻辑。

我拆解过一个样本。它先扫描当前目录下的所有.php文件，用filemtime检查修改时间，跳过最近十分钟内改过的，避免被运维发现。然后它把自身加密成一段base64字符串，拆成几百个碎片，随机混入宿主文件的注释块里。每个碎片只有几十字节，单独看毫无威胁，但一旦某个文件被执行，碎片就会重新拼装，解密出完整代码，再传染给下一个目标。

更坑的是，这种繁殖程序往往还带“抗药性”。它会检测常见的安全函数——strpos、file_get_contents——如果发现宿主环境里有这些函数的禁用列表，它就改用fopen配合流包装器，或者用include远程加载。我见过一个变种，居然能识别出WordPress的wp-config.php并从中提取数据库密码，然后把自己写进cron任务里，每五分钟从外部服务器拉取新指令。

清理这种程序，光删文件没用。你删掉所有感染文件，但只要有一个备份文件里藏着碎片，它就能从零开始重新繁殖。我试过用find命令批量替换，结果发现它会把自身代码加密后藏进图片的EXIF信息里，或者塞进.htaccess的auto_prepend_file指令中。最绝的是有一次，它居然修改了PHP的php.ini，在disable_functions里加上了“eval”，然后自己改用assert执行代码——这操作我至今没想明白它是怎么做到的。

后来我学乖了，对付这种程序得釜底抽薪。先把所有可写目录权限改成只读，再在入口文件里禁用动态执行函数，最后用inotify监控文件变更。但这玩意儿就像蟑螂，你永远不知道它下一个卵产在哪。上周我又在客户的一个老旧CMS里发现类似痕迹，这次它进化成了用FFI调用系统级函数——PHP 7.4以上版本才有的特性，说明攻击者连服务器PHP版本都摸透了。

说句掏心窝子的话，写这种程序的人技术底子绝对不差，但全用在歪门邪道上了。他们深谙PHP的灵活性和历史包袱——register_globals、magic_quotes这些老特性虽然早被移除，但仍有大量老代码依赖它们。繁殖程序就像病毒利用了宿主细胞的复制机制，PHP的动态特性就是那个“宿主细胞”。只要你还用着老框架、老代码，没做文件完整性校验，这种寄生虫就永远有可乘之机。

最后提醒一句，如果你服务器上发现类似症状——文件莫名变大、CPU异常飙升、数据库出现陌生用户——别慌。先断网，备份所有文件，然后从干净的源码重新部署。别想着修复感染文件，直接推倒重来，因为那些繁殖代码可能已经嵌进你不知道的某个角落，正等着下一次请求时继续繁殖。