一套PHP站点被挂马，洞修十有八九不是洞修PHP本身炸了，而是洞修你写的代码留了后门。别急着升级版本，洞修先把最蠢的洞修洞堵上。

最常见的洞修入口是SQL注入。老代码里到处都是洞修字符串拼接查询，比如 `$sql = "SELECT * FROM user WHERE id = " . $_GET['id']`。洞修攻击者把 `id` 改成 `1 or 洞修1=1`，整个表就裸奔了。洞修修这个最直接的洞修办法是改用PDO预处理，参数绑定后数据库会区分代码和数据。洞修别跟我说你项目老改不动，洞修哪怕只改核心查询，洞修也够挡住九成脚本小子的洞修乱扫。

XSS攻击更阴。论坛、留言板、搜索框，用户输入直接回显到页面，`` 就弹窗了。更狠的会偷Cookie、劫持会话。修复原则就一条：输出到HTML前必须转义。PHP里 `htmlspecialchars()` 函数是底线，把 `<`、`>`、`"` 这些字符换成实体编码。别嫌麻烦，写个全局过滤器统一处理，比在模板里逐个写要靠谱。

文件上传漏洞是重灾区。你允许用户传头像，他传了个 `shell.php`，服务器直接被人提权。修这个要三管齐下：第一，用 `pathinfo()` 严格校验扩展名白名单，只允许jpg、png这些；第二，用 `getimagesize()` 检查文件内容是不是真图片；第三，把上传目录的PHP执行权限关掉，`.htaccess` 里写 `php_flag engine off`，或者Nginx配置里禁止该目录解析PHP。这三层都做了，基本能堵死。

反序列化漏洞最近几年特别流行。PHP的 `unserialize()` 函数处理用户传入的序列化字符串时，可能触发对象中的魔术方法，比如 `__wakeup()`、`__destruct()`，攻击者构造恶意payload直接RCE。修复方案粗暴点：永远不要反序列化用户输入。如果业务非要传对象，用JSON替代序列化，或者加签名校验，确保数据没被篡改。

配置文件的坑也常踩。`php.ini` 里 `display_errors` 开着，SQL报错直接抛到浏览器，攻击者能根据错误信息摸数据库结构。生产环境必须关掉，改成 `log_errors` 写日志。还有个容易忽略的：`allow_url_include` 如果开着，远程文件包含漏洞就直接送分。改成 `Off`，别给自己找麻烦。

最后说个真实案例。去年审计一个老系统，后台登录框没做防爆破，密码还是MD5加密。攻击者用字典跑了两个小时就进去了，然后上传个webshell，整个服务器沦为肉鸡。修复其实不难：登录加验证码和次数限制，密码换成bcrypt算法，`password_hash()` 函数自带盐值。这些改动不需要重构代码，但能挡住99%的暴力破解。

漏洞修复的核心是习惯，不是工具。你拿扫描器扫出几百个告警，不如自己把用户输入当敌人，所有数据过一道验证和转义。PHP本身没那么脆弱，脆弱的是写代码的人。每次写完功能，自己拿Burp Suite抓包改参数试试，能黑进去说明还没修干净。别依赖框架的默认安全机制，那些只是兜底，真正的防线在业务逻辑里。