php源码怎么加后门，服务器运行环境怎么快速搭建？
由于题主没有明确是哪种环境，下面主要介绍两大系统平台的运行环境的最简部署方式。
1. Linux系统 宝塔面板
2. Windows 宝塔面板、PhpStudy(比较简单)
有能力的程序员，可以自行安装：MySQL（或者PostgreSQL）、PHP运行时、JDK、Apache（或者Nginx、Tomcat）初学者、怕麻烦的程序猿或者运维工程师都会使用一类综合的环境部署工具，例如宝塔面板来构建程序的基础环境，善于探索和不怕麻烦的程序猿、运维老鸟都可能会独立部署服务器运行环境。
注：由于Linux生态多种多要，但是安装方式大同小异，因包管理器和构建工具的不同，稍稍有点差异，但是在安装宝塔面板上，没有区别。
Linux系统平台 宝塔面板宝塔Linux面板是提升运维效率的服务器管理软件，支持一键LAMP/LNMP/集群/监控/网站/FTP/数据库/JAVA等100多项服务器管理功能。
有20个人的专业团队研发及维护，经过200多个版本的迭代，功能全，少出错且足够安全，已获得全球百万用户认可安装。运维要高效，装宝塔。
宝塔面板支持CentOS，Ubuntu、Debian、Fedora，下面以CentOS7.x为例。
1. 通过ssh工具登录服务器
这里推荐大家使用Putty进行登录。注意要开放ssh连接的端口，一般默认是22，为了网站安全推荐大家更换ssh登录端口。设置为不常用的端口。
输入账号和密码，注意密码在输入时是不显示的，大家不要以为密码没输入。
2. 安装宝塔面板
执行以下代码进行安装宝塔6.9免费版。宝塔6.9版本已经很稳定了，推荐大家直接安装6.9版本（注意：宝塔linux6.0版本是基于centos7开发的，务必使用
centos7.x
系统）。yum install -y wget && wget -O install.sh http://download.bt.cn/install/install_6.0.sh && bash install.sh回车进行安装。
输入y，并回车。接下来便是等待宝塔面板进行安装。
我们得到登录宝塔面板的URL,账号和密码。
面板地址：http://{您的服务器IP}:8888
初始化：第一次使用会要求初始化配置，请按照提示填入配置信息。
安装完成宝塔面板后，我们就可以在浏览器中访问了。复制Bt-panel中的URL到浏览器上访问。注意要打开服务器（服务器系统的自身的防火墙iptables或者
firewall.d
+云主机厂商的防火墙，如果你的主机确实在云上的话 ）上的8888端口。输入默认的账号和密码进行登录。
3. 设置宝塔面板
进入主页就能看到面板的各项设置了。
在软件商店里安装各种工具，例如Ngxin、PHP，在网站选项卡里创建站点，即可使用服务！
Windows宝塔面板直接在服务器上运行宝塔
.exe
就可以了，后面流程和Linux相似。Windows PhpStudyphpStudy也出最新版本支持Linux，但是还是不够完善，目前还是8.0最好用。
PhpStudy有自己的用户界面，直接双击安装文件即可安装，相对于宝塔win版，它是没有非Web客户端的。
在Win上，PhpStudy的易用性高于宝塔面板！
码字不易，如果觉得作者说的不错，恳请诸位点个赞，或者加个关注，万分感谢😘。Linux服务器有什么优势？
为您的企业选择服务器时，您可以选择几种不同的选项。虽然许多公司使用基于Windows的服务器，但选择Linux服务器可能是您最好的选择。为什么Linux服务器比其他服务器更好？以下是使用Linux服务器的一些优点。
一、最稳定使用Linux服务器是有意义的，因为它被认为是当今市场上最稳定的平台。您不必担心重新启动系统或不断下载更新。Linux非常稳定，很少崩溃。服务器可以连续启动和运行数百天而无需关闭服务器。对于Windows服务器，情况并非如此。
二、最佳性能Linux也因其目前可用的任何服务器的最佳性能而闻名。使用Linux，您可以让大量用户在同一服务器上工作而不会出现任何问题。它也是用于网络目的的理想服务器。它可以连接到许多不同的设备，而不会遇到问题。当您获得Linux服务器时，您将获得一个在业界享有良好声誉的服务器，以获得最佳性能。
三、开源代码使用Linux服务器的另一大优势是代码是开源的。对于其他操作系统，代码并非每个人都可以自由使用。使用Linux，代码已经存在很长时间了，已经有来自世界各地的数千名程序员进行了审核。这些程序员彻底检查了代码并找出了操作系统中存在的任何错误。这有助于创建一个比市场上任何其他程序更顺畅的平台。通过所有这些审查，它还有助于加强安全性，因为代码中的任何漏洞都已得到修复。
四、多任务处理能力使用Linux服务器时，您还可以执行多任务。众所周知，Linux能够处理同时运行的许多不同程序。对于其他操作系统，当您打开其他内容时，他们可能会将某些程序置于“睡眠模式”。使用Linux，程序可以在您处理其他工作时继续在后台运行。这样可以更轻松地执行多任务，并确保在您不一定要查看屏幕上运行的程序时发生的事情。
五、灵活性在Linux的平台被称为是非常灵活，适用于多种不同的情况。由于它来自开源程序，程序员可以根据您的需要进行自定义。凭借这种灵活性，它还使平台更加安全。您可以自定义安全方面，以便它们与市场上的任何其他产品不同。您还可以通过改变现有的安全协议和系统来使平台更加安全。
不法分子是如何侵入网站的？
黑客们入侵网站普遍的手法/流程
1、信息收集
Whois 信息--注册人、电话、邮箱、DNS、地址
Googlehack--敏感目录、敏感文件、更多信息收集
服务器 IP--Nmap 扫描、端口对应的服务、C 段
旁注--Bing 查询、脚本工具
如果遇到 CDN--Cloudflare（绕过）、从子域入手（mail，postfix）、DNS 传送域漏洞
服务器、组件（指纹）--操作系统、web server（apache，nginx，iis）、脚本语言
通过信息收集阶段，攻击者基本上已经能够获取到网站的绝大部分信息，当然信息收集作为网站入侵的第一步，决定着后续入侵的成功。
2、漏洞挖掘
探测 Web 应用指纹--Discuz、PHPwind、Dedecms、Ecshop...
XSS、CSRF、XSIO、SQLinjection、权限绕过、任意文件读取、文件包含...
上传漏洞--截断、修改、解析漏洞
有无验证码--进行暴力pj
经过漫长的一天，攻击者手里已经掌握了你网站的大量信息以及不大不小的漏洞若干，下一步他们便会开始利用这些漏洞获取网站权限。
3、漏洞利用
思考目的性--达到什么样的效果
隐藏，破坏性--根据探测到的应用指纹寻找对应的 EXP 攻击载荷或者自己编写
开始漏洞攻击，获取相应权限，根据场景不同变化思路拿到 webshell
4、权限提升
根据服务器类型选择不同的攻击载荷进行权限提升
无法进行权限提升，结合获取的资料开始密码猜解，回溯信息收集
5、植入后门
隐蔽性
定期查看并更新，保持周期性
6、日志清理
伪装性，隐蔽性，避免激警他们通常选择删除指定日志
根据时间段，find 相应日志文件
太多太多。。。
说了那么多，这些步骤不知道你看懂了多少？其实大部分的脚本小黑显然不用这些繁琐的步骤，他们只喜欢快感！通常他们会使用各种漏洞利用工具或者弱口令（admin,admin888)进行攻击，入侵无果就会选择睡觉、打飞机或者去做一些其他的事情。当然，这种“黑客”仅仅是出于“快感”而去想入侵你的网站，如果是别有它意的人，麻烦就来了。
是不是修改下阿里云密码？
修改服务器密码，数据库密码，扫描后门
网站外包完成，如果没有纠纷，一般不会故意黑网站的，以防外一我们可以做一些防范措施，首先修改服务器的密码，其次要修改数据库的密码，另外要看一下网站是否配置了独立的数据库帐号密码，如果有也要一并修改。还要看一下服务器环境，如果用的是控制面板，记得把帐号也一起改了。
还需要检查一下阿里云服务器的安全组，是否有多余开放的端口，一般21,22,3389,80足够了，如果有多余的就关闭相应的端口。
最好在扫描一下整站的源码，是否有一句话木马等明显的后门程序，扫描软件可以用360,D盾之类的。如果有高手预留的后门，不那么容易被发现的，都是隐藏在逻辑层，如果你懂服务器配置，可以关闭一些危险的执行函数。可以有效防止远端连接过来。
怎么说呢，只要双方没啥矛盾，你按时结算费用的，不会闲的没事过来折腾的
为什么都推荐使用wordpress而不是phpcms这些国内的CMS呢？
我是2006年落伍老站长了，安全第一，除了WordPres，少有几十年持续维护更新且扩展丰富的cms源码。主流cms除了wc的帝国cms还在维护，其他都停止维护了。
web程序更新update非常重要，现在赌博色情违法spam和攻击太多，处理不好会坐牢的，一旦网站被攻击，站长很难自证清白。
落伍者站长论坛就有人因被入侵而被处罚，我也曾经因此被警方传唤检查电脑手机。
我最早用dedecms，bug极多，后来用phpcms，官方停止维护，安全问题xss注入太多，只能全部转换成WordPress。
WordPres要小心模版有后门，我去年批量使用某个themes主题，导致被xss，直接被微信封了十几个域名。
如今我建议做交互不多的网站，本地构建环境，生成HTML，再映射附件和HTML目录，用sync自动对比或者直接挂载，上传到支持云对象存储的bucket，再把主域名cname解析到bucket，自定义好默认首页即可全站静态化。
对象存储无法执行，只能静态访问，无惧大多数攻击。这也是政府网站维护人员推荐给我的解决方案。