PHP 惡意 DDoS 攻擊應急處理與根因清查

現象與影響

服務器資源被佔滿，網站無法正常響應，經排查發現存在惡意 PHP 腳本發起大量外部連接或消耗 CPU/內存，疑似被植入 DDoS 攻擊代碼。

應急緩解措施（php.ini 配置）

; 禁用常被 DDoS 腳本利用的函數
disable_functions = gzinflate,exec,system,shell_exec,passthru,popen,proc_open,fsockopen,curl_exec,...

; 禁止 URL 形式的 fopen 封裝協議，阻斷遠程文件包含與外部請求
allow_url_fopen = Off

; 啟用 sockets 擴展（若業務需用，否則保持禁用）
; extension=php_sockets.dll

注意： 以上配置僅為臨時緩解，無法根除已植入的惡意文件。

根因清查與徹底解決

1. 文件完整性對比：對比備份與當前文件，發現異常新增/修改文件。
2. 進程與網絡連接分析：netstat -anp、lsof -p <PID> 定位可疑進程與連接目標。
3. 日誌審計：Web 訪問日誌、PHP 錯誤日誌、系統認證日誌，追溯入侵路徑。
4. 查殺惡意文件：使用 maldet、clamscan 或人工特征碼清理 webshell、後門、DDoS 腳本。
5. 修復漏洞：修補導致入侵的應用漏洞（SQLi、RCE、文件上傳等）。
6. 加固環境：落實上一篇所述的服務器加固措施，部署 WAF/RASP。
7. 更換憑證：重置數據庫、FTP、SSH、管理後台等所有密鑰與密碼。

預防建議

• 禁用 allow_url_fopen 與 allow_url_include
• 嚴格限制 disable_functions，結合 open_basedir
• Web 目錄禁止執行權限，上傳目錄禁用 PHP 解析
• 定期漏洞掃描與滲透測試
• 建立文件完整性監控（如 AIDE、Tripwire）