结论：PHP2Shell 不是「一句话木马」的同类替代品，而是把 PHP 代码执行能力包装成可交互 shell 的完整后门链路，危害面和排查方式都与传统一句话木马不同。
① 从形态看：普通一句话木马通常是 eval($_POST['x']) 这类极短片段，体积小、特征固定，靠上传点植入即可；PHP2Shell 往往是一个完整的 PHP 脚本或框架化后门，包含命令执行、文件管理、数据库操作、反弹连接等模块，落盘文件更大、结构更复杂。
② 从交互看：一句话木马必须依赖中国菜刀、蚁剑这类客户端发送特定 POST 数据才能工作，本质是「执行器 + 客户端」；PHP2Shell 自带 Web 界面或伪终端，浏览器直接访问就能操作，甚至支持交互式命令回显，隐蔽性和易用性更高。
③ 从检测看：一句话木马主要靠匹配 eval、assert、$_POST 等危险函数组合，规则相对成熟；PHP2Shell 的代码可能做了混淆、拆分、动态拼接，还会伪装成正常插件或工具文件，单靠关键字扫描容易漏报，需要结合文件完整性校验、异常外联和访问日志综合判断。
④ 从处置看：发现一句话木马通常删文件、改密码即可；遇到 PHP2Shell 要按「已被完全控制」处理，排查同目录兄弟文件、计划任务、SSH 公钥、数据库账号和 Web 日志，确认没有横向移动后再恢复业务。