PHP Web 木馬掃描器 v1.0：功能完整的安全檢測工具

工具特性

• Web 介面操作，支援登入認證（預設帳密 t00ls/t00ls）
• 掃描配置持久化（Cookie 儲存設定）
• 多維度特徵庫：已知後門標譽、危險函數、加密後門、一句话木馬、上傳後門、.htaccess 惡意配置
• 掃描結果列表：文件路徑、修改時間、觸發規則、特徵內容、下載分析
• 支援掃描路徑自定義、文件副檔名過濾、全文件掃描模式

核心架構

scanner.php
├─ 登入認證 (MD5 雙重雜湊 + Cookie 會話)
├─ 設定面板 (掃描副檔名、全文件模式、.htaccess 檢測)
├─ 掃描引擎
│  ├─ 遞歸遍歷目錄 (scan())
│  ├─ 文件讀取與預處理 (移除空白字符)
│  ├─ 正則特徵匹配 (getCode() 定義的 50+ 規則)
│  └─ 結果構建與 HTML 輸出
├─ 文件下載功能 (供離線分析)
└─ 登出/會話管理

特徵庫分類詳解 (getCode() 返回陣列)

掃描流程關鍵點

1. 配置解析：getSetting() 從 Cookie 反序列化配置，構建副檔名正則 $is_ext。
2. 遞歸掃描：scan() 使用 opendir/readdir 遞歸，跳過自身文件，檢查可讀性。
3. 內容預處理：移除空格、換行、製表符 str_replace([" ", "\n", "\r", "\t"], "", $content) 以匹配壓縮混淆代碼。
4. 規則匹配：遍歷特徵庫正則，preg_match 命中即記錄並跳出內層循環（同一文件僅記錄首個匹配）。
5. 結果渲染：交互式表格，支援滑鼠懸停高亮、文件下載、直接鏈接訪問。

部署與安全建議

• 修改預設帳密：部署前必須更改 $username/$password 並使用強密碼。
• HTTPS 強制：防止認證憑證與掃描結果被竊聽。
• 限制部署範圍：僅在需掃描的目標伺服器臨時部署，用畢即刪。
• 結果人工複核：工具提示「掃描出來的文件並不一定就是後門」，必須結合業務上下文人工審計。
• 避免自我掃描遺漏：掃描器自身文件 MYFULLPATH 會被跳過，若攻擊者替換掃描器將失效。

適用場景

• 滲透測試後驗證清理成果
• 疑似入侵應急排查
• 定期資產安全巡檢輔助工具
• 代碼審計前快速定位可疑區域