Apache服务器PHP文件遭篡改，静态站点及Laravel应用受影响求助

兄弟，你这情况妥妥是服务器被黑客入侵了，而且已经被植入了后门和恶意代码——静态站的index.html被重命名备份，替换成带加密代码的恶意index.php，还多了xml62.php这类后门文件，连Laravel应用的索引文件也被注入了/*47f70*/ @include "\...的恶意代码，得赶紧处理，不然还会出更大问题：

一、紧急止损步骤 #

• 立刻隔离服务器：如果是云服务器，先把服务器的公网访问临时限制（比如防火墙只放行你自己的IP），或者暂停相关站点的服务，防止黑客继续操作或者恶意代码对外传播。
• 恢复正常站点文件：
  1. 删除可疑的index.php和xml62.php文件，这些都是黑客留下的后门，别犹豫直接清理。
  2. 把index.html.bak重命名回index.html，恢复你的静态网站正常访问。
  3. 清理Laravel应用里被注入的代码：找到被篡改的索引文件，删除/*47f70*/ @include "\...这段恶意内容，确保应用核心文件的完整性。

二、排查入侵根源 #

• 检查登录日志：查看FTP、SSH、服务器控制面板的登录记录，有没有陌生IP的登录尝试，或者异常的登录时间（比如凌晨的登录行为），大概率是弱口令或者暴力破解导致的入侵。
• 扫描应用漏洞：
  1. 检查Laravel应用的版本，如果是老版本，可能存在已知的远程代码执行漏洞，黑客就是通过这个入口进来的。
  2. 排查其他PHP应用的漏洞，比如有没有未修复的SQL注入、文件上传漏洞，这些都是黑客常用的入侵途径。
• 查找残留后门：用服务器安全工具（比如ClamAV、rkhunter）全量扫描服务器，看看有没有其他隐藏的恶意文件、webshell或者rootkit。

三、加固服务器与应用 #

• 重置所有密码：FTP、服务器登录（SSH/控制面板）、数据库、应用后台的密码全部换成复杂的强密码，别用重复密码。
• 限制访问权限：
  1. FTP/SSH只允许指定IP登录，关闭不必要的端口。
  2. 给网站文件设置合理的权限：静态文件设为644，目录设为755，禁止PHP文件有写入权限（除非是必要的上传目录，还要单独限制该目录的执行权限）。
• 更新系统与应用：服务器系统的所有补丁及时打上，Laravel和其他PHP应用全部升级到最新稳定版，修复已知漏洞。
• 启用安全防护：
  1. 安装Web应用防火墙（WAF），拦截恶意请求、SQL注入、XSS攻击等。
  2. 开启文件监控工具（比如inotify），监控关键文件（比如index.html、Laravel的入口文件）的修改，一旦有异常立刻告警。
• 完善备份策略：定期做离线备份（比如把备份文件下载到本地，别只存在服务器上），这样就算再被入侵，也能快速恢复。

内容的提问来源于stack exchange，提问作者Akın Özgen