PHP后门无法仅靠删文件清除，因其常嵌入cron定时任务，需检查用户级（crontab -l）、系统级（/etc/cron.d/）可疑任务，识别curl/wget/php -r/base64等高危组合及异常时间规则，并安全清理、溯源加固。
PHP后门不是靠“删文件”就能清干净的，尤其当它已嵌入定时任务（cron），说明攻击者已获得服务器权限，单纯删掉某个shell.php毫无意义——它可能随时被重新拉起。
怎么看 cron 里有没有可疑定时任务
攻击者常把 PHP 后门调用藏在用户级或系统级 cron 中，比如每分钟请求一次远程脚本、解码执行 base64 字符串，或调用伪装成日志清理的恶意 PHP 文件。
- 运行
crontab -l查当前用户的定时任务；别忘了用sudo crontab -u www-data -l（或对应 Web 进程用户）再查一遍 - 检查系统级任务：
ls /etc/cron*，重点关注/etc/cron.d/下非系统自带的文件（如/etc/cron.d/php-backdoor） - 留意命令中是否含
curl、wget、php -r、base64 -d | php、eval、assert等高危组合 - 时间字段写成
* * * * *或*/2 * * * *（每 2 分钟）却无明确业务用途，大概率异常
怎么安全清理 cron 后门而不误删系统任务
直接 crontab -e 手动删行风险高，容易漏掉隐藏任务或破坏格式。优先用最小干预方式定位并移除。
- 先备份：
crontab -l > /tmp/crontab.bak，再用grep -E "(curl|wget|php\s+-r|base64.*php|eval|assert)" /tmp/crontab.bak快速筛出可疑行 - 对
/etc/cron.d/下的文件，用stat看创建/修改时间：stat /etc/cron.d/* 2>/dev/null | grep -A1 "Modify\|Change"，新近添加且命名异常（如logrotate2）的要重点查 - 删完后立刻执行
crontab -l | wc -l和ls /etc/cron.d/ | wc -l记录基准值，后续巡检可比对 - 不要用
crontab -e清空全部再粘贴回旧内容——换行符或空格错误会导致整个 cron 失效
PHP 文件后门常藏在哪、怎么识别真伪
后门不只躲在 webroot 下的 shell.php，更多混在看似正常的文件里：被篡改的 WordPress 插件主文件、wp-config.php 末尾追加的 eval($_POST[x])、甚至 .user.ini 里用 auto_prepend_file 持久挂载。
