Wireshark 不能直接挖掘 PHP 漏洞，它仅捕获和展示 HTTP/HTTPS 流量中的原始请求与响应数据，不执行代码、不解析语法、不检测逻辑缺陷，只能辅助观察参数未过滤、错误信息泄露等行为线索。
Wireshark 能不能直接“挖” PHP 漏洞
不能。Wireshark 是网络协议分析工具，它只负责捕获和展示 HTTP（或 HTTPS）流量里的请求/响应原始数据，不执行 PHP 代码、不解析语法、不检测逻辑缺陷。所谓“通过 Wireshark 抓 PHP 请求分析漏洞”，本质是：用它观察 PHP 应用暴露在通信层的**行为线索**，辅助你定位可能存在的问题，比如参数未过滤、错误信息泄露、明文传输敏感数据等。
抓到 PHP 请求后重点看哪几块
打开 Wireshark，过滤出目标站点的 HTTP 流量（例如 http.host contains "target.com"），点开某条 GET 或 POST 请求，切换到 “HTTP” 或 “Raw” 标签页，重点关注：
-
GET请求的 URL 参数（如?id=1%27+OR+1%3D1--）——SQL 注入痕迹 -
POST请求的Form Data或Raw内容（如username=admin%00）——空字节截断、命令注入线索 - 响应中的
Server、X-Powered-By头（如X-Powered-By: PHP/8.1.2）——版本信息泄露，可查已知 CVE - 响应体里是否返回 PHP 错误（如
Parse error: syntax error in /var/www/html/index.php on line 42）——开启display_errors的危险配置 - 密码、token、session_id 是否在 URL 或表单中明文出现（如
?token=abc123）——会话管理缺陷
HTTPS 下 Wireshark 抓不到 PHP 参数怎么办
现代 PHP 应用基本都走 HTTPS，Wireshark 默认只能看到 TLS 握手和加密载荷，看不到 URL 和 POST body。要解密 HTTPS 流量，必须满足以下任一条件：
- 目标浏览器/客户端使用了
SSLKEYLOGFILE环境变量，并导出密钥（常见于 Firefox、Chrome 启动时指定） - 你控制服务端，且能导出私钥（
server.key），并在 Wireshark 的Preferences → Protocols → TLS → RSA keys list中配置对应域名 + 端口 + 密钥路径 - 使用中间人代理（如
mitmproxy或burpsuite）替代 Wireshark —— 更适合 Web 渗透，能自动解密并重放 PHP 请求
单纯靠 Wireshark + 不可控的 HTTPS 网站，是看不到真实 PHP 参数的；这时候该换用 burpsuite 或 zaproxy。
立即学习“PHP免费学习笔记（深入）”；
Kali 上真正用来挖 PHP 漏洞的工具链
Wireshark 只是辅助观察层，Kali 中用于主动发现 PHP 漏洞的常用组合是：
-
gobuster或ffuf扫目录，找/phpinfo.php、/backup/、/test.php这类测试文件 -
sqlmap -r request.txt：把 Wireshark 导出的原始 HTTP 请求（右键 →Export Selected Packet(s)…→ 保存为.txt）喂给 sqlmap 做自动化注入检测 -
nikto -h http://target.com：扫 PHP 相关的已知配置风险（如phpmyadmin暴露、.git泄露） -
php -l vulnerable.php：本地检查 PHP 语法错误（仅限你有源码时）
Wireshark 抓包本身不触发漏洞，也不构造攻击载荷；它只是帮你确认“这个参数确实传给了 PHP 后端”，而真正的挖掘动作，得靠其他工具驱动。
很多人卡在“抓到了一堆 PHP 请求却看不出漏洞”，问题往往不在 Wireshark，而在没结合 PHP 的运行机制去读那些参数和响应——比如不知道 $_GET 和 $_POST 怎么被拼进 SQL、没留意 error_reporting(E_ALL) 开启后泄露的路径信息。流量是死的，漏洞是活的，得带着 PHP 思维去看包。
