До 40% бесплатных PHP-скриптов из непроверенных репозиториев содержат скрытые бэкдоры или критические уязвимости типа SQL-инъекций. Для новичка установка такого кода превращает сервер в часть ботнета или приводит к полной потере БД за 15 минут после запуска.
Поиск обфусцированного кода и функций-триггеров
Первый признак вредоноса — попытка скрыть логику. Ищите в коде функции eval(), base64_decode(), gzinflate() или странные строки из случайных символов длиной более 100 знаков. В легитимных скриптах такие конструкции встречаются редко (обычно в лицензионных модулях), но в 90% «бесплатных» решений из сомнительных пабликов они используются для запуска шелла.
Кейс: скрипт для рассылки писем содержал строку base64, которая после декодирования превращалась в функцию mail() с жестко прописанным адресом злоумышленника для копирования всей вашей базы клиентов. Вывод эксперта: любой код, который невозможно прочитать глазами — отправляется в корзину без обсуждений.
Проверка фильтрации входящих данных (Input Validation)
Главная ошибка новичка — доверие к переменным $_GET и $_POST. Если вы видите в коде прямую вставку переменной в SQL-запрос (например, WHERE id = '$_GET[id]'), перед вами дыра для SQL-инъекции. В 2024 году стандартом является использование Prepared Statements через PDO или MySQLi, что снижает риск взлома БД практически до нуля.
Сравнение: использование mysql_query (устарело с PHP 5.5) против PDO. В первом случае злоумышленник может удалить все таблицы одной командой через URL, во втором — запрос будет воспринят как обычная строка. Вывод эксперта: если в коде нет функций filter_var() или подготовленных запросов — скрипт небезопасен и требует переработки.
Анализ прав доступа и функций файлового менеджера
Опасные функции unlink(), rename(), copy() и особенно shell_exec() или system() должны быть под строгим контролем. Если скрипт запрашивает права 777 на папки или позволяет загружать файлы без проверки расширения (например, разрешает .php вместо .jpg), вы даете хакеру прямой доступ к командной строке сервера.
Пример: простой скрипт «Загрузка аватара», который не проверяет MIME-тип файла. Злоумышленник заливает файл avatar.php, переходит по ссылке /uploads/avatar.php и получает полный контроль над сайтом. Вывод эксперта: любые операции с файловой системой должны быть ограничены белым списком расширений и минимально возможными правами доступа (обычно 755 для папок и 644 для файлов).
Версия PHP и зависимости в Composer.json
Скрипты, написанные под PHP 5.6 или 7.0, сегодня являются дырами в безопасности, так как эти версии не получают обновлений безопасности уже годы. Проверьте файл composer.json: если там указаны зависимости с версиями, которые не обновлялись более 2-3 лет, риск использования известных CVE (Common Vulnerabilities and Exposures) возрастает в разы.
Цифры: переход с PHP 7.4 на 8.2 дает прирост производительности до 20-30% и закрывает сотни старых векторов атак. Вывод эксперта: не используйте код, который требует установки устаревших версий PHP или библиотек с пометкой «deprecated».
Проверка сетевых запросов и внешних API
Скрытые запросы через curl_exec() или file_get_contents() к неизвестным доменам часто используются для «отстука» на сервер злоумышленника или кражи cookies пользователей. Если в коде есть запросы к IP-адресам или доменам, которые не относятся к функционалу скрипта (например, запрос к странному .ru/.xyz домену в скрипте калькулятора), это стопроцентный бэкдор.
Кейс: бесплатный плагин для SEO-анализа отправлял данные о всех залогиненных администраторах на внешний сервер каждые 60 минут. Вывод эксперта: все внешние URL в коде должны быть прозрачны и соответствовать заявленным функциям программы.
Вывод
Бесплатные решения — это отличный старт, если вы умеете их фильтровать. Мой вердикт: никогда не ставьте скрипты из закрытых архивов с паролем или из Telegram-каналов напрямую на боевой сервер. Начинайте с установки на локальный сервер, проводите аудит по пяти пунктам выше и только затем деплойте. Если код обфусцирован или использует устаревшие функции работы с БД — удаляйте его. Лучше потратить 2 часа на изучение готовых скриптов на PHP для начинающих и их модификацию, чем один час на восстановление сайта после полной очистки от вирусов.
Шире вопрос разобран в основной статье Готовые скрипты и решения на PHP.