PHP网站遭入侵：目录名称被篡改的成因排查与防护方案咨询

兄弟，我特别懂你这种突发故障的崩溃感——高流量网站突然因为目录被莫名改名直接挂掉，换谁都头大！结合你从Node/Java转PHP+Apache的背景，还有目前给出的信息，咱们一步步拆解问题：

可能导致目录被篡改的常见原因 #

• CKEditor上传逻辑漏洞：你用.htaccess限制了部分文件类型，但如果上传代码本身没做严格校验，攻击者可能绕过限制上传webshell（比如把PHP文件改后缀为php5/phtml，或者利用文件内容绕过MIME检测）。一旦webshell上传成功，攻击者就能执行rename()这类PHP函数直接修改目录名称。
• 权限配置不合理：你说目录是775权限，得先确认Apache运行的用户（比如www-data）是否在目录的用户组里。如果Apache用户属于该组，775的组权限是允许写入/修改的，那攻击者通过webshell就能轻松改目录名。
• 服务器或第三方组件漏洞：比如CKEditor的旧版本存在文件上传绕过漏洞，或者PHP、Apache本身有未修复的远程代码执行漏洞；另外如果服务器SSH弱口令、数据库被攻陷，攻击者拿到服务器权限后也能直接操作目录。
• 其他隐性漏洞：比如网站里的其他PHP脚本存在SQL注入、XSS等漏洞，攻击者通过这些漏洞拿到服务器操作权限，进而篡改目录。

优先排查的步骤 #

• 查Apache访问/错误日志：去日志目录（一般是/var/log/apache2/）看access.log和error.log，找有没有异常请求——比如访问奇怪的PHP文件、上传接口的异常POST参数，或者大量404/500请求，这些可能是攻击者试探漏洞的痕迹。
• 检查上传目录及可疑文件：找到CKEditor的上传目录，看看有没有陌生文件，比如后缀是php/php3/phtml、文件名奇怪（比如shell.php、cmd.php）的文件，这些大概率是webshell。
• 确认Apache运行用户与目录权限：
  • 用命令ps aux | grep apache（或httpd）查看Apache的运行用户
  • 用ls -l查看被篡改目录的权限信息，看Apache用户是否在目录的用户组中，是否拥有写权限
• 检查组件版本：确认CKEditor、PHP、Apache是不是最新稳定版，查一下对应版本有没有已知的上传或远程执行漏洞。
• 查服务器登录日志：看/var/log/auth.log（Linux系统），有没有异常SSH登录记录，比如多次失败后成功登录的情况，排查是否有暴力破解入侵。

针对性防护建议 #

• 彻底修复上传逻辑：
  • 不要只依赖.htaccess，在PHP代码里用finfo_get_file()获取文件真实MIME类型，严格校验上传文件的类型，拒绝非允许的文件
  • 上传文件存放到非Web根目录，或者给上传文件生成随机文件名，避免保留用户提交的原文件名
  • 给上传目录设置chmod 750权限，并且禁止该目录的PHP执行权限（可以在.htaccess里加php_flag engine off）
• 调整目录权限：
  • 核心业务目录（比如views）改成755权限，文件改成644，确保Apache运行用户只有读权限，没有写/修改权限
  • 只有上传目录需要开放写权限，且严格限制范围
• 禁用PHP危险函数：在php.ini里设置disable_functions = exec,passthru,shell_exec,system,proc_open,popen,rename,unlink（根据业务情况调整，确保不影响正常功能），直接堵死攻击者执行命令的路径
• 升级所有组件：把CKEditor、PHP、Apache都升级到最新稳定版，修复已知漏洞
• 服务器加固：
  • 禁用SSH密码登录，改用密钥认证
  • 安装fail2ban防止暴力破解
  • 防火墙只开放必要端口（比如80、443、22）
• 监控目录变化：写个简单的shell脚本定时检查核心目录的名称、权限，发现变化立刻发告警（比如邮件、企业微信）

先从日志和上传目录查起，大概率能找到入侵的线索，一步步来总能解决问题的！

备注：内容来源于stack exchange，提问作者Leonardo Santos