如何通过PHP常见WAF和Webshell检测方法识别潜在的后门？

本文共计1181个文字，预计阅读时间需要5分钟。

前言：之前在Webshell查杀的新思路中留下了一个坑，当时没有找到具体找到全部变量的方法，后来通过学习找到了一个打印全部变量的方法，并且再次学习了PHP+webshell绕过WAF的方法，以此来进行验证。

前言

之前在Webshell查杀的新思路中留了一个坑 ️，当时没有找到具体找到全部变量的方法，后来通过学习找到了个打印全部量的方法，并再次学习了下PHP webshell绕过WAF的方法，以此来验证下此方法是否合理。

如有错误，还请指出，不胜感激！ :turtle:拜

在那篇文章中我突然想到一种检测webshell的方法，就是首先获取到当前文件中的所有变量（不明白的可以先去看下之前的文章），然后再根据正则库进行静态检测。

自认为这种方法虽然会检测不完全（每个检测机制都不能保障全部有效），但是感觉非常简单、实用，也没那么多高深的道理。

为了验证该检测机制，首先了解下目前PHP webshell绕过WAF的方法。