后门防护（webshell）

功能与扫描机制

后门防护对登记的站点目录做 WebShell（一句话后门）特征扫描：

• 特征库：覆盖 PHP（eval / assert / $_POST 一句话、base64 / gzinflate 变形、create_function、preg_replace /e、system / shell_exec…）、JSP（Runtime.exec / ProcessBuilder）、ASP（execute / WScript.Shell）、ASPX（Process.Start）等多语言特征，按扩展名匹配（.php / .jsp / .asp / .aspx / .py 等 14 种）。
• 特征库在程序内编码存储（XOR + Base64），避免安全软件把 Qidun 误判为后门投放器。
• 只扫文本文件（含 NUL 判二进制跳过）、单文件 ≤ 20MB；自动跳过忽略目录与已隔离（.qidun_quarantine 后缀）文件。
• 默认每 360 秒扫描一轮（webshell.poll_sec 可配），也可手动「立即扫描」。

统计卡

卡片	下钻
监测站点目录	目录列表
后门发现	全部命中记录
已隔离 / 仅告警 / 已恢复	按状态过滤的记录列表

站点目录与忽略目录

1. 「站点目录」面板点击添加目录，输入站点根目录绝对路径（如 C:\www\mysite 或 /var/www/html）。
2. 点击立即扫描可立即执行一轮（提示「开始扫描，请稍候…」→「扫描完成」）。
3. 目录列表中可随时移除不再监测的目录。

忽略目录：用于排除框架运行时 / 上传缓存等误报高发路径。添加的路径按子串匹配跳过扫描，建议填写带斜杠的完整路径片段（如 /runtime/cache/）以避免误伤同名目录。

处置模式

模式	行为	适用
只记录（默认）	命中仅写入记录并告警，人工确认后手动隔离	生产站點，防止误杀正常文件
自动防护	命中立即改名为 原路径.qidun_quarantine 使其失效，并告警；隔离失败自动降级为仅告警并明示	高威胁环境，接受一定误杀风险

在「处置模式」面板切换下拉并保存，立即生效。

后门记录操作

「后门发现记录」列出时间 / 站点 / 文件 / 命中特征 / 状态，按状态提供操作：

状态	可用操作
仅告警（琥珀）	隔离 — 加 .qidun_quarantine 后缀使其失效
已隔离（红）	恢复 — 去掉后缀还原
任意状态	删除 — 确认后物理删除该文件（不可恢复）

注意事项

• 特征扫描是辅助检测，存在误报（加密 / 混淆的正常代码）与漏报（新式后门）的可能，命中后请人工核对文件内容再处置。
• 目录文件量大时扫描占用 IO，建议站点目录按业务分块登记，并配合忽略目录缩小范围。
• 隔离文件继续留在原目录（仅改名），站点不再执行；彻底清除请用「删除」。