fix: 六引擎误报根因修复 — 解包递归、YARA 恒真规则、签名分级、real_type 溢出

检测范围与证据链修复，不改裁决口径（口径改动在下一条提交）。

- extractor：zip/tar 成员在超限分支外漏加回扫描队列，解包后内容永远不参与检测；
  zip 目录条目被当成内嵌对象；tar 超限成员先落盘不删。递归真正生效后深扫耗时可测。
- clamav：_HIGH/_MEDIUM/_UNWANTED 关键词是小写，而签名名是 "Win.Trojan..." 大小写混排，
  分级判定恒不命中全走默认档；改统一大写匹配。超过 clamd MaxFileSize 的裸奔区间
  (1G~1.5G) 新增 ClamAVSkippedSizeLimit(30) — 按"不可扫描不放行"进复核。
- yara：pe.yar C1 系列改用导入表判定，不再靠裸子串命中字符串表；
  linux.yar C7 多条规则条件恒真（裸 nc/fetch 之类）已收紧；C8/C3 相应收窄。
- structure：DangerousExecutableExtension 是载体信号而非恶意行为，critical 权重 45→35，
  不再作为把中低置信度信号一起顶过 block_score 的底座。
- scanner/documents：real_type 拼进 libmagic 对 MSI/OLE 的元数据串实测 334+ 字符，
  超列宽导致整条 scan_tasks INSERT 连 findings 一起丢（被拒文件不留痕）→
  列宽 256→512，migrate.sql 补 ALTER。

rules/webshell.yar

@@ -57,12 +57,19 @@ rule C3_PHP_Webshell_Obfuscated {
         $rot13 = "str_rot13" ascii wide
         $assert = "assert(" ascii wide
         $createfn = "create_function" ascii wide
+        // PHP 上下文证据：没有 <?php / 超全局变量，就不要凭函数名定罪（vim、git 等
+        // 二进制里同样存在 base64_decode / eval( 字样）
+        $php1 = "<?php" ascii
+        $php2 = /\$_(GET|POST|REQUEST|COOKIE|FILES|SESSION)\b/ ascii
     condition:
-        // base64_decode + (eval|assert|create_function) = 解码后动态执行
-        $b64 and ($eval or $assert or $createfn)
-        or
-        // 解码链：base64 + gzinflate / str_rot13 + 执行
-        $b64 and ($gzinflate or $rot13) and ($eval or $assert)
+        any of ($php*)
+        and (
+            // base64_decode + (eval|assert|create_function) = 解码后动态执行
+            ($b64 and ($eval or $assert or $createfn))
+            or
+            // 解码链：base64 + gzinflate / str_rot13 + 执行
+            ($b64 and ($gzinflate or $rot13) and ($eval or $assert))
+        )
 }
 
 // PHP Webshell —— 变量变形（$$a = $_POST['cmd']；$$a($_POST['arg'])）