如何使用php记录命令行输入？

我公司的一台服务器最近被黑客入侵。在筛选文件时，我注意到我的命令行输入被记录到一个PHP文件中。这怎么可能

目前，所有内容都记录到一个php文件中。 在这个日志中，是我通过SSH登录服务器以来终端命令的全部历史记录

例如：

Last login: Thu Jan 16 16:21:17 on xxxxx
$ cd ..
$ ls -al
drwxrwxr-x+ 55 root      admin     1870 Jan 13 13:52 XXXXX
drwxr-xr-x+ 63 root      admin     2142 Nov 26 09:06 XXXX
drwxr-xr-x@  2 root      admin       68 Aug 16  2012 XXXXX
drwxr-xr-x+  4 root      admin      136 Mar 12  2013 System

这将记录在php文件的顶部。在文件的底部是大量压缩和可变掩码代码

似乎没有我预期的eval（）或shell_exec（）

如果您关心法医分析，请保存磁盘映像

用核武器把所有东西都还原成裸金属

重建服务器并从版本控制中提取新代码

更改所有密码并保护可能已暴露的任何内容

---

只是重复检查：它正在登录到一个php文件？比如说，有一个php脚本，比如说，

foo.php

，您在该文件中键入的内容将被输出到某个秘密Web服务器？这需要更多的上下文和信息。什么被记录在哪里？您是如何知道这一点的，您能否举例说明您正在输入的内容（在哪里，在SSH shell中？），以及它是如何在PHP脚本中出现的？你是如何查看PHP脚本的？事实上，它正在登录到一个PHP文件中。进行了一些快速更新，希望能增加一些清晰度！怎么用？很可能是rootkit。这是我们正在做的事情——1这不是试图回答所问的问题。