巡检时发现上传目录多了几个命名随机的文件，内容是混淆过的代码。乍看像缓存或者权限的锅，追下去往往不是。
find /www/wwwroot -name '*.php' -mtime -7 -type f find . -name '*.php' -newer index.php | head -50
追下去是这么回事：程序漏洞或弱口令被利用后，攻击者上传了可执行脚本用于长期控制。
「网站后门排查」这类改动最怕改一半，回滚脚本先准备好，再动生产。接口问题先分清是没发出去、发出去了没收到，还是收到了处理失败。
偶发问题先统计频率，一小时几次和一天一次，查法完全不同。改完顺手把文档补一句，省得下次自己重新推一遍。
监控和日志的时间要对上，时区不一致会多绕很大一圈。临时改动用注释写上日期和原因，过两周自己都记不清为什么这么写。
动手前把原文件复制一份带时间戳，出问题立刻换回去，比现场分析快得多。
具体做法是，先隔离站点再分析文件；按修改时间筛出异常文件；比对官方包确认非正常文件。
验收就看一点，异常文件被清除，站点无新增可疑脚本。