YARA扫描PHP应用时phpseclib的SSH2.php报DangerousPhp告警问题咨询

结论：本次告警属于典型误报 #

误报原因 #

phpseclib是行业通用的官方PHP SSH客户端库，你触发告警的Net/SSH2.php是其核心功能文件，本身就需要实现SSH远程命令执行、逻辑回调等能力：

• 扫描命中的system、call_user_func、EXEC都是该库实现正常功能时主动使用的合法代码，并非恶意注入的后门代码
• 你使用的php-malware-finder是基于危险函数特征匹配的检测工具，无法区分「合法组件调用危险函数实现正常功能」和「恶意代码调用危险函数执行攻击」的场景，因此触发了误报。

处理方式 #

• 第一步先校验本地SSH2.php文件的哈希值和对应版本官方发布的文件哈希是否一致，确认文件没有被第三方篡改
  • 如果哈希不一致，说明文件已经被篡改，需要替换为官方原版文件，同时排查服务器入侵路径
  • 如果哈希一致，直接将phpseclib的完整目录加入扫描工具的白名单即可，后续扫描会自动跳过该目录，不会再触发同类误报
• 生产环境使用时可额外校验该库的业务调用路径是否符合预期，排除被恶意代码二次调用的风险。

内容的提问来源于stack exchange，提问作者mujuonly