识别 base64_decode + eval 类混淆后门需检查 eval(base64_decode(、assert(base64_decode( 等组合及 str_rot13、gzinflate 等变体，还原时须在隔离环境将 eval 替换为 echo 输出解密内容，禁止生产环境直接执行或使用在线工具，并排查数据库、.htaccess、auto_prepend_file 等隐蔽落点。
代码混淆型 PHP 后门不能靠“看起来不像后门”就放行，必须还原执行逻辑、定位真实行为、再逐文件清理——否则删了表面，留了内核。
怎么识别 base64_decode + eval 类混淆后门
这类后门最常见：用 base64_decode 解密字符串，再用 eval、assert 或 create_function 执行。它不直接写 shell 命令，但运行时动态加载恶意逻辑。
- 典型特征：
eval(base64_decode(、assert(base64_decode(、call_user_func("base64_decode"等组合 - 注意变体：用
str_rot13、gzinflate、多层嵌套（如eval(gzinflate(str_rot13(base64_decode(...） - 别信文件名或注释——攻击者常把后门塞进
wp-config.php、functions.php末尾，或伪装成缓存文件（如.cache_8a7b.php）
如何安全还原并查看混淆代码的真实行为
还原不是为了“欣赏攻击手法”，而是确认它到底干了什么：连外网？写文件？执行系统命令？必须在隔离环境操作。
