结论：先别急着删文件，按「找可疑进程 → 查落地文件 → 看访问日志」三步走，基本能定位是否中招。
① 先看进程和网络连接。执行 ps aux 找异常 php 进程（尤其是 www-data 下 CPU 长期跑满的），再 ss -tunp 看有没有对外连陌生 IP 的 80/443 或高位端口，PHP2Shell 类漏洞常伴随反弹 shell。
② 再查落地文件。重点看上传目录、缓存目录和临时目录里近期新增的 .php 文件，用 find /var/www -name "*.php" -mtime -7 筛一遍，注意内容含 base64_decode、eval、assert、system 这类混淆特征的。
③ 最后翻访问日志。在 nginx/apache 日志里搜带可疑参数的 POST 请求，对比时间点和文件创建时间，能确认入侵入口。确认后立刻隔离主机、改数据库和后台密码，再清理并打补丁。拿不准的样本可以发到站内求助问答版块，附上日志片段让大家一起看。