| 时间窗 | find -newermt |
|---|---|
| 特征 | eval、base64_decode、system、assert 等组合 |
排查
排查
find /var/www -xdev -type f -newermt '-30 days' \( -name '*.php' -o -name '*.jsp' \) 2>/dev/null | head -30
grep -RlnE 'eval\(|base64_decode\(|assert\(' /var/www/html --include='*.php' 2>/dev/null | head特征匹配会有误报，确认前不要删除文件，先计算哈希并留存副本。