PHP后门必须在源站清理，CDN仅能辅助检测；常见藏匿路径包括/tmp、/wp-content/uploads/、主题插件文件及/vendor/伪装目录；需结合日志分析、数据库、用户、计划任务、PHP配置等多维度排查。
PHP后门无法通过CDN“删除”——CDN只缓存和转发响应，真实后门文件仍躺在源站服务器上。所有清理动作必须在源站完成，CDN层只能辅助检测和临时阻断。
后门文件通常藏在哪几个路径
攻击者偏好隐蔽、可写、易混淆的目录，常见位置包括：
-
/tmp、/var/tmp：系统临时目录，PHP进程常有写权限 -
/wp-content/uploads/（WordPress 站点）：上传目录默认可执行，常被植入shell.php、1.php、xx.jpg.php类文件 -
/themes/xxx/functions.php或/plugins/xxx/index.php：篡改合法插件/主题文件，嵌入 base64_decode 或eval($_POST[...]) -
/vendor/下伪装成依赖包的文件（如/vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php），利用旧版 PHPUnit 漏洞遗留
CDN日志里怎么发现可疑请求
CDN不记录源站磁盘文件，但能暴露攻击者行为痕迹。重点筛这些特征：
- 高频访问非常规后缀：如
.php请求带?a=eval&b=base64...，或 POST body 含system(、passthru(、assert( - User-Agent 异常：空 UA、含
sqlmap、nmap、dirbuster字样，或固定指纹如python-requests/2.28 - 来源 IP 短时密集调用同一 URL 路径（尤其非公开接口），例如 1 分钟内对
/wp-admin/admin-ajax.php发起 50+ 次 POST - Referer 为空但请求含 PHPSESSID 或绕过登录态的 cookie，可能为自动化工具直连
注意：CDN 日志中看到的 404 并不安全——攻击者常先探测再上传，404 只代表当时没命中，不代表没成功过。
立即学习“PHP免费学习笔记（深入）”；
