内容摘要：一个叫“eval”的函数，在PHP里是执行字符串代码的。攻击者往URL参数里塞一段base64编码的字符串，服务器端一解码，就成了可执行的PHP代码。就这么简单。网站后台被拖库、首页被挂博彩广告、用户

一个叫“eval”的网站木马函数，在PHP里是网站木马执行字符串代码的。攻击者往URL参数里塞一段base64编码的网站木马字符串，服务器端一解码，网站木马就成了可执行的网站木马PHP代码。就这么简单。网站木马网站后台被拖库、网站木马首页被挂博彩广告、网站木马用户被跳转到钓鱼站，网站木马十有八九都是网站木马这玩意儿在作祟。

去年我帮朋友收拾一个被黑的网站木马电商站。后台明明改了强密码，网站木马文件权限也设了，网站木马可隔三差五还是网站木马被种上马。查了半天，网站木马最后在某个老旧的第三方插件里发现一个“后门”——那插件上传图片的接口，居然直接把文件名拼进了一个`include`语句。攻击者把文件名改成`../../shell.php%00`，配合老版本PHP的截断漏洞，硬生生把一个正经功能变成了任意文件写入。你说气不气？

木马这东西，最烦人的不是它多难发现，而是它太“日常”了。它不搞什么惊天动地的破坏，就安静地躺在某个上传目录里，偶尔帮攻击者发个垃圾邮件、挖个门罗币、或者把你的数据库拖走卖钱。你甚至感觉不到它存在，直到某天搜索引擎突然提示“该网站可能已被黑客入侵”，或者用户投诉说一打开首页就弹赌博广告。

我见过最离谱的一次，是某政府网站被挂了整整一年的木马，期间居然没人发现。那木马伪装成一个图片文件，后缀是`.jpg`，但文件头是PHP代码——因为服务器配置了`AddHandler`，所有`.jpg`文件都会交给PHP解析。这招太阴了，安全扫描工具默认只检查`.php`、`.asp`这些常见后缀，谁会去管一个图片文件夹里的“图片”是不是真的图片？

那怎么防？说实话，没有一劳永逸的办法。但有几个土办法挺管用：第一，把上传目录的执行权限彻底关掉，`php_admin_flag engine off`写在`.htaccess`里，让攻击者就算传了马也跑不起来。第二，定期手动翻一下文件修改时间，尤其是那些不该频繁变动的目录。第三，别迷信WAF（Web应用防火墙），那东西能挡掉90%的扫描攻击，但剩下的10%专门挑你业务逻辑的漏洞下手——比如那个把文件名拼进`include`的插件。

最气人的是，很多木马根本不需要多高深的技术。攻击者就是拿现成的工具扫，扫到一个没打补丁的CMS，直接往上传一个一句话木马，完事。你辛辛苦苦写的业务代码，人家根本不看，专挑你没更新过的老组件下手。所以，与其花大价钱买各种安全设备，不如老老实实把服务器和CMS的补丁打全了，把不必要的服务关掉，把目录权限收紧点——这些基本功做到位，能挡掉八成以上的攻击。

最后说个扎心的真相：网站木马这东西，就跟蟑螂似的，你看见一只，暗地里可能已经有一窝了。别指望彻底清干净，关键是别让它繁殖起来。定期检查、及时止损、该删库跑路的时候就删库跑路——反正代码还能再写，数据丢了就真没了。