Nuclei不扫描PHP 7.4解释器本身漏洞（如CNTA-2026-0007），而是检测其上运行的Web应用暴露的安全问题，如未授权访问、敏感文件泄露、CMS插件漏洞等。
PHP 7.4 网站本身不是 Nuclei 的扫描目标，Nuclei 扫描的是运行在 PHP 7.4 环境上的 Web 应用、服务接口、管理后台等具体资产。它不检测 PHP 解释器版本漏洞（如 CVE 或 CNTA-2026-0007），但能高效发现由 PHP 应用引发的常见安全问题——比如默认路径泄露、未授权访问、敏感文件下载、CMS 插件漏洞、配置错误等。
确认目标可访问且基础环境就绪
Nuclei 是黑盒扫描器，只和 HTTP 响应打交道。只要你的 PHP 7.4 网站对外提供 HTTP/HTTPS 服务（例如 https://example.com 或 http://192.168.1.100），且能被你执行 Nuclei 的机器正常访问（无网络策略拦截、无 WAF 强规则阻断），就可以开始扫描。
- 先手动访问目标首页、登录页、后台路径（如
/admin、/wp-admin）、常见调试文件（如/phpinfo.php、/test.php），确认响应正常 - 避免扫描内网地址或未授权系统；若目标有登录态，Nuclei 默认不带 Cookie，需配合
-H参数手动加头，或用-sresp抓包后分析再定制模板 - PHP 7.4 已于 2022 年 11 月结束官方支持，很多旧 CMS（如 WordPress 5.x、Drupal 7）仍依赖它，这类组合恰好是 Nuclei 模板库重点覆盖的对象
用对模板：聚焦 PHP 生态高频风险点
Nuclei 官方模板库中大量模板专为 PHP 应用设计，无需关心底层是 7.4 还是 8.x，只关注应用暴露的行为特征。推荐优先启用以下几类：
-
HTTP/CMS 目录：如
http/cves/、http/cms/wordpress/、http/exposures/、http/miscellaneous/ -
敏感路径探测：模板如
exposed-panels/phpmyadmin-detect.yaml、exposed-panels/adminer-panel.yaml、exposed-panels/roundcube-panel.yaml -
配置与调试泄露：如
exposures/files/phpinfo.yaml、exposures/files/backup-files.yaml、misconfiguration/php-apache-xampp.yaml - 若网站使用了已知框架（如 Laravel、Symfony、CodeIgniter），可用
-as参数自动识别技术栈并加载相关模板，大幅提升效率
实用命令示例（适配 PHP 7.4 环境特点）
以下命令已在实际 PHP 7.4 站点验证有效，兼顾速度、精度与低干扰：
立即学习“PHP免费学习笔记（深入）”；
- 快速摸底（静默+高危）：
nuclei -u https://target.com -silent -severity high,critical -t http/cves/ -t http/exposures/ - 深度检查 CMS 和面板（含常见 PHP 后台）：
nuclei -u https://target.com -t http/cms/ -t http/exposed-panels/ -t http/misconfiguration/ -c 50 -rl 100 - 批量扫描多个 PHP 站点（如测试环境集群）：
nuclei -l targets-php74.txt -t http/exposures/ -t http/miscellaneous/ -o php74-scan-results.jsonl - 导出结构化结果便于后续分析（推荐 JSONL）：
nuclei -u https://target.com -jsonl -o scan-$(date +%Y%m%d).jsonl
注意事项与边界提醒
Nuclei 不会替你判断“PHP 7.4 是否过时”，也不会自动升级服务器。它的价值在于把潜在攻击面可视化：
- 它可能发现
/phpmyadmin/未授权访问，但不会告诉你 PHP-FPM 是否启用了危险配置（如security.limit_extensions被绕过） - 它能检出
WordPress 5.8.9的某个插件 RCE 模板命中，但无法确认该插件是否真在你这个 PHP 7.4 实例上启用 - 若目标启用了严格 CSP、WAF 或请求频率限制，部分模板可能失效，此时建议降低
-rl（如设为 20）、增加-timeout，或改用-proxy经可控代理中转 - 所有扫描行为需获得明确授权；对生产环境建议安排在低峰期，并避免使用暴力类模板（如
brute-forcing/）
