| 高危函数 | eval/assert/create_function/system/popen |
|---|---|
| 混淆 | base64_decode、gzinflate、str_rot13、变量函数 |
| 分布 | 上传目录、缓存目录、图片目录 |
| 行为 | POST 高频 + 异常响应、访问时间规律 |
特征与时间双路排查
特征与时间双路排查
grep -RnE 'call_user_func|create_function|str_rot13|gzinflate' /www/wwwroot --include='*.php' -l 2>/dev/null | head -n 20
find /www/wwwroot -type f -name '*.php' -mtime -30 -ls | head -n 40免杀样本可能不含任何高危函数名；「文件出现在不该出现的位置与时间」本身就是信号。