PHP2Shell.help
简体中文
菜单
PHP 8.2–8.5 修复版本已发布 独立社区资源 · 事实核实于 2026年10月22日

PHP2Shell 检测工具 / 网站被黑检测

网站被黑检测：升级 PHP2Shell 补丁后还要查什么

只看 PHP 版本判断不了网站以前有没有被黑，PHP2Shell 目前也没有官方公布、能确定归因的入侵特征。先升级 PHP，再检查陌生管理员账号、上传目录里的 PHP 文件、最近被改动的文件和计划任务。发现异常先保全日志和现场，再联系主机商或专业人员，不要急着删文件。

PHP2Shell.help 编辑部核实日期 官方来源 ↓

打了 PHP2Shell 补丁，就说明网站没被黑吗？

不能。补丁只能防住以后，管不了以前。如果网站在升级前已经被人利用漏洞留下后门，升级 PHP 并不会把后门清掉。研究方还报告了一个能读取进程内存的问题——就算没发现后门，也不能完全排除数据被读走。

所以修复和排查是两件事：先修，再查。

有没有能确定是 PHP2Shell 入侵的特征？

目前没有。截至本站核实时，PHP 官方和研究方都没有公布能唯一确定 PHP2Shell 入侵的特征（IOC）。Cloudflare 表示补丁发布前已经观察到攻击尝试，所以值得翻一下日志。Wiz 研究团队在 X 上建议监控三类迹象：

  • 异常的 multipart 请求之后，紧接着出现内存超限报错或 HTTP 500；
  • 格式异常的会话 Cookie（PHPSESSID）；
  • PHP worker 异常频繁地重启。

这些都只能当作调查线索：看到了，不一定是 PHP2Shell，也可能只是正常的大文件上传或配置问题；没看到，也不能证明没被攻击。

网站被黑检测先查哪几处？

按顺序检查：

  1. 陌生管理员账号：WordPress 在“用户”里筛选“管理员”；同时看主机面板、FTP、数据库有没有你不认识的账号。
  2. 上传目录里的 PHP 文件：wp-content/uploads 这类目录只应该有图片和文档，出现 .php 文件是强烈的危险信号。
  3. 最近被改动的文件：在文件管理器里按修改时间排序，重点看漏洞公布以来、你自己没动过却被改过的文件。
  4. 没装过的插件和必用插件：WordPress 的 wp-content/mu-plugins 目录不会出现在普通插件列表里，要单独看。
  5. 陌生的计划任务：宝塔、cPanel 等面板的计划任务（cron）里有没有你没建过的，攻击者常用它反复植入后门。
  6. 外部的警告：主机商的安全通知、搜索引擎站长平台的安全问题提示、有人反映你的域名在发垃圾邮件或跳转到陌生网站。

发现异常后先做什么？

按这个顺序，别跳步：

  1. 限制访问：把网站切到维护或暂时下线，不让它继续对外服务。
  2. 先保全再清理：保存访问日志、错误日志、可疑文件和网站快照，记录发现时间和现象。不要一上来就删文件、清日志，删了就查不出攻击者做了什么。
  3. 改掉所有密码：主机面板、FTP/SFTP、数据库、所有网站管理员，以及网站配置里的密钥；在确认干净的环境里改。
  4. 从干净的备份恢复：用入侵发生之前的备份恢复，或从可信的代码重新部署；只删掉一个可疑文件往往不够，攻击者可能留了多处后门。
  5. 恢复前先补好：PHP、WordPress、主题、插件全部更新，再重新上线。
  6. 通知主机商：他们能查同一服务器上的其他账号和更底层的日志。

什么情况应该找专业人员？

  • 网站涉及支付、会员、个人信息；
  • 找不到入侵前的干净备份；
  • 清理后问题反复出现；
  • 需要对客户或监管机构说明情况。

涉及个人信息泄露的，按你所在组织和地区的规定处理通报，只对外说明已经确认的事实。

不要做什么？

  • 不要把完整日志、可疑文件、数据库或密钥上传到任何“在线检测”网站，本站也不接收。
  • 不要下载运行网上的“PHP2Shell 一键检测脚本”或所谓 PoC，有的夹带恶意程序。
  • 不要把服务器账号密码交给陌生人或聊天工具代为排查。

还没确认是否受影响的，先用 PHP2Shell 检测，修复步骤见 PHP2Shell 修复。

依据哪些来源？

检测你的 PHP 是否受 PHP2Shell 影响

输入网站使用的 PHP 版本，我们会和该分支的首个修复版本比较，并告诉你下一步怎么做。

PHP2Shell 检测工具 →

来源

本页的核心事实（修复版本、CVE 详情、发行版软件包、官方机构的提醒）都来自官方来源；研究报告、新闻和社区讨论已分别标注。