PHP一句话木马在日志中的特征提取与扫描脚本

PHP一句话木马因其极致的精简和隐蔽性，长期占据Web后门的主流地位。在应急响应和日志分析中，我们面对的不是明晃晃的恶意代码，而是被URL编码、Base64加密甚至多层混淆过的HTTP请求。直接从海量日志中肉眼寻找<?php @eval($_POST['cmd']);?>几乎是不可能的，因为攻击者早已将payload伪装成正常的登录请求或JSON数据。要精准提取特征，必须深入理解一句话木马在日志中留下的“痕迹模式”，并编写针对性的扫描脚本，而不是依赖简单的正则匹配。

绝大多数PHP一句话木马依赖动态执行函数，如eval、assert、create_function、preg_replace的/e修饰符（已废弃但仍在老系统中出现）以及call_user_func。在原始访问日志或应用日志中，POST Body虽然可能被WAF拦截记录，但在应用层日志（如PHP错误日志或自定义请求日志）中，我们能看到解码后的数据。关键特征不是函数名本身，而是“变量包裹函数”的结构。例如，日志中捕获到的原始POST数据可能显示为：cmd=@eval(base64_decode($_POST[z0]));。扫描脚本需要提取这种“赋值给变量的可执行回调”模式。更隐蔽的变种使用字符串拼接与双变量组合，如$a="as"."sert";$a($_POST['x']);。在日志中，这类请求体往往包含分号、点号以及引号闭合的异常组合，且参数值中频繁出现双变量传递。脚本应检测POST Body中是否存在形如$[a-zA-Z_]+=(.*);.*$[a-zA-Z_]+\(.*\)的连续执行逻辑，而非孤立地搜索已知函数名。

当一句话木马通过GET方式传递时，日志中的请求URI会呈现出极不自然的长尾编码串。攻击者为了绕过IDS，常采用多层URL编码或Base64结合其他编码。例如，正常的参数值长度分布相对均匀，而木马连接器的参数值长度往往异常突出，且字符集偏向于Base64的[A-Za-z0-9+/=]。更关键的是解码后的二次特征：将日志中的可疑参数值进行Base64解码后，如果结果中包含了eval、assert或$_POST、$_GET等超全局变量，即可判定为高危。扫描脚本的逻辑不应只停留在原始日志匹配，而应内置解码栈，对每个参数值尝试递归解码（URL解码->Base64解码->可能的Hex解码），并检查解码后字符串的信息熵。正常文本的信息熵通常在4-5之间，而加密或编码后的payload信息熵往往更高且字节分布更均匀，通过计算香农熵可以有效筛选出高度混淆的请求。

为了绕过只记录URI或简单过滤POST的日志系统，高级一句话木马会将执行代码隐藏在User-Agent或Referer头字段中。在日志里，这些字段通常呈现为完整的浏览器标识或网址，但木马流量会使这些字段包含类似<?php eval(...) ?>的片段，或者包含类似cmd=system('id');的短指令。特征在于User-Agent字段中出现PHP代码标签<?php或短标签<?，以及Referer中出现超全局变量符号$_。扫描脚本需要打破常规的“只查请求体”思维，将User-Agent、Referer、甚至X-Forwarded-For等自定义头纳入检测范围。针对这类字段，检测逻辑应聚焦于PHP语法关键词（如eval、assert、base64_decode）与特殊字符（$、{、}）的共存关系，因为正常浏览器标识绝不会包含这些组合。

虽然日志通常只记录请求，但应用日志或反向代理日志有时会记录响应状态码和响应时长。一句话木马在执行系统命令或数据库查询时，若命令执行失败或返回空结果，响应体可能为空，但状态码仍为200。更明显的特征是时间延迟：正常的PHP页面响应时间相对固定，而带有sleep或延迟函数的盲注型木马会导致响应时间显著增加。此外，部分连接器在连接木马时会先发送一个探针请求，导致短时间内同一IP对同一URL产生大量404或200但响应体积极小的记录。扫描脚本可以聚合分析时间窗口内的请求频率和响应时长方差。如果某个IP在极短时间内对同一PHP文件发起多次POST请求，且每次响应时长波动巨大（例如从50ms跳到3000ms），这极有可能是木马通信的“心跳”或命令执行反馈。

下面提供一个基于Python的日志扫描脚本核心框架，该脚本不依赖简单的正则黑名单，而是结合了熵值计算、多层解码和结构特征提取。

import re
import base64
import urllib.parse
import math
from collections import defaultdict

def shannon_entropy(data):
    if not data:
        return 0
    entropy = 0
    for x in range(256):
        p_x = data.count(x) / len(data)
        if p_x > 0:
            entropy += - p_x * math.log2(p_x)
    return entropy

def recursive_decode(payload, max_depth=3):
    decoded_payloads = [payload]
    current = payload
    for _ in range(max_depth):
        try:
            if '%' in current:
                current = urllib.parse.unquote(current)
                decoded_payloads.append(current)
            missing_padding = len(current) % 4
            if missing_padding:
                current += '=' * (4 - missing_padding)
            decoded_bytes = base64.b64decode(current, validate=True)
            current = decoded_bytes.decode('utf-8', errors='ignore')
            decoded_payloads.append(current)
        except:
            break
    return decoded_payloads

def detect_webshell_pattern(line):
    suspicious_score = 0
    php_keywords = ['eval', 'assert', 'base64_decode', 'str_rot13', 'gzinflate', '$_POST', '$_GET', '$_REQUEST', 'call_user_func']
    for keyword in php_keywords:
        if keyword in line:
            suspicious_score += 2
    dynamic_pattern = re.compile(r'\$[a-zA-Z_]+\(.*\$[a-zA-Z_]+.*\)')
    if dynamic_pattern.search(line):
        suspicious_score += 3
    if re.search(r'<\?php|\<\?=', line, re.IGNORECASE):
        suspicious_score += 5
    entropy = shannon_entropy(line.encode('utf-8', errors='ignore'))
    if entropy > 5.5:
        suspicious_score += 2
    return suspicious_score

def scan_log(file_path):
    ip_time_map = defaultdict(list)
    with open(file_path, 'r', encoding='utf-8', errors='ignore') as f:
        for line in f:
            score = detect_webshell_pattern(line)
            if score >= 4:
                print(f"[!] High risk pattern found: {line.strip()}")
            # 此处可扩展时间序列分析逻辑

该脚本的核心在于detect_webshell_pattern函数，它不单独依赖某个关键词，而是通过加权评分机制综合判断。动态调用模式的正则\$[a-zA-Z_]+\(.*\$[a-zA-Z_]+.*\)能够捕获类似$var($_POST['x'])的结构，这是可变函数最典型的特征。同时，脚本对日志行进行递归解码尝试，虽然在示例中未直接展示解码后评分，但在实际部署时，应将recursive_decode的结果再次送入detect_webshell_pattern进行二次评分，以应对多层编码。信息熵的计算则是为了发现那些看似乱码但结构高度有序的Base64或Hex编码块，正常日志行的熵值通常较低。

现代Web应用大量使用JSON格式传输数据，攻击者也顺应潮流将一句话木马隐藏在JSON字段中。例如：{"user":"admin","pass":"@eval(base64_decode($_POST[z0]));"}。在日志中，这类请求的Content-Type为application/json，但字段值却包含PHP可执行代码。传统基于URL编码的检测会失效，因为JSON中的特殊字符可能未被编码。扫描脚本需要引入JSON解析逻辑，提取所有键值对的值进行检测。更棘手的是，攻击者可能将payload拆分成多个JSON字段，在服务端拼接执行。因此，检测逻辑不应仅针对单个字段，而应计算整个JSON对象中所有字符串值的拼接熵和关键词密度。如果多个字段分别包含base64_decode、eval、$_POST等片段，即使单个字段看起来无害，组合起来风险极高。脚本可以通过正则提取所有双引号内的字符串，拼接成一个长字符串后再进行特征评分，这种“聚合检测”能有效发现碎片化注入。

部分一句话木马并非直接写在请求中，而是通过PHP伪协议（如php://input、data://）结合文件包含漏洞执行。日志中会出现类似?file=php://input的请求，同时POST Body携带木马代码。或者使用data://text/plain;base64,PD9waHAgQGV2YWwo...这样的完整payload。特征在于参数值包含php://或data://协议头，且后续跟着明显的Base64编码串或原始PHP代码。扫描脚本应建立协议黑名单，并对data://后的内容进行强制Base64解码检测。此外，远程文件包含（RFI）虽然因allow_url_include默认关闭而减少，但日志中若出现?file=http://或?file=ftp://且参数值末尾包含?或%00截断符，则极可能是木马植入的前置攻击，需要一并标记。

孤立地检测单条日志容易产生漏报，建立行为基线能大幅提升准确率。正常用户访问PHP页面，请求参数数量、参数值长度、访问频率都处于稳定区间。而一句话木马连接器在管理时，会频繁向同一PHP文件发送POST请求，且参数值长度显著大于正常请求。扫描脚本可以维护一个滑动时间窗口（如5分钟），统计每个IP对每个PHP资源的请求次数、平均参数长度和响应时间分布。当某个IP在窗口内对同一文件的POST请求超过阈值（如10次），且参数值平均长度超过200字节，同时响应时间波动剧烈，即可触发木马通信告警。这种基于行为侧写的方法能捕捉到那些完全免杀、无任何已知关键词的未知木马，因为它们无法隐藏通信频率和数据传输量这两个物理特征。

任何检测规则都可能误伤正常业务。常见的误报场景包括：正常的Base64图片上传接口、包含代码片段的博客正文提交、以及某些框架的序列化数据。扫描脚本必须支持白名单机制，针对特定URL路径、参数名或来源IP排除检测。更精细的做法是引入语义分析：如果POST Body中包含eval但上下文是“这篇文章讲解了eval函数的用法”，则不应告警。这可以通过检测eval前后是否有引号闭合或注释符号来判断。在实际脚本中，可以增加一个误报排除函数，当检测到关键词出现在成对的单引号或双引号内，且前后没有PHP变量符号$或连接符.时，降低风险评分。这种上下文感知的排除逻辑能有效减少人工审核成本。

扫描脚本的价值不仅在于发现，更在于联动处置。一旦检测到高风险木马通信，脚本应立即提取攻击者IP、时间戳、完整请求头和Body，生成JSON格式的告警信息，并追加到安全事件日志中。同时，可以调用系统命令或API自动将攻击IP加入防火墙黑名单。为了支持事后溯源，建议将原始日志和检测结果同步写入Elasticsearch等时序数据库，利用其倒排索引能力对历史攻击进行快速回溯。在日志持久化时，务必保留原始请求的完整字节流，因为攻击者可能利用日志解析器的漏洞（如Log4j）进行反制，安全的做法是对原始日志进行Base64存储，分析时再解码，避免二次伤害。

通过对PHP一句话木马在日志中多维特征的拆解，我们可以看到，有效的检测绝非匹配几个正则表达式那么简单。它需要结合编码解码、熵值计算、行为聚合和上下文分析，构建一套分层的扫描逻辑。上述脚本框架提供了一个可扩展的起点，在实际部署中，还需根据自身业务日志格式调整解析器，并持续迭代特征库，才能在攻防对抗中保持检测能力的前瞻性。