子目录部署需逐项验证真实PHP环境：检查是否绑定独立FPM池、通过phpinfo确认版本与配置、定位实际PHP二进制路径用Versionscan扫描CVE、排查危险函数与高危配置，并用PMF检测后门痕迹。
PHP 8.1 网站子目录部署的漏洞扫描，不能只扫根目录或仅看主版本号。因为子目录可能运行独立 PHP 环境（如不同版本的 FPM 池、自定义 php.ini、嵌入式 CGI 脚本），实际执行环境与主站不一致，容易漏掉真实风险。
确认子目录真实运行的 PHP 版本
子目录是否启用独立 PHP 处理器，直接影响漏洞暴露面。需逐项验证：
- 查看该子目录是否绑定了独立的 PHP-FPM pool：检查 Nginx/Apache 配置中 location 块是否有 fastcgi_pass 指向特定 socket 或端口（如
127.0.0.1:9003），再查对应 pool 的php_admin_value[php_ini]或php_admin_flag[allow_url_include] - 在子目录下临时放置
info.php（内容为<?php phpinfo(); ?>），通过浏览器访问该路径，确认 Loaded Configuration File 和 PHP Version 是否与主站不同 - 若子目录走 CGI 模式（如
php-cgi或php -q调用），直接在服务器上执行：ls -l /path/to/subdir/*.php | head -1 | xargs -I{} sh -c 'grep -q "php-cgi" {} && echo "CGI mode detected"'
针对性使用 Versionscan 扫描子目录关联的 PHP 实例
Versionscan 不扫描 Web 路径，而是比对 PHP 解释器二进制的实际版本与 CVE 数据库。关键是要找到子目录真正调用的那个 PHP 可执行文件：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- 若子目录由 PHP-FPM 提供服务，运行
ps aux | grep php-fpm | grep -v master，找出 worker 进程使用的二进制路径（如/usr/bin/php8.1-fpm或/opt/php/8.1.30/bin/php） - 用该路径执行：
versionscan --php-bin /usr/bin/php8.1-fpm --fail-only，工具会自动提取版本并匹配 CVE - 若子目录使用 CLI 模式（如定时任务调用子目录脚本），则用
php -v对应的二进制路径，例如versionscan --php-bin /usr/local/bin/php81 --sort cve
检查子目录特有风险点
子目录常被用于上传接口、API 中转、插件模块等场景，易引入额外攻击面：
立即学习“PHP免费学习笔记（深入）”；
- 搜索子目录内是否存在硬编码危险函数调用：
grep -r "eval\|system\|shell_exec\|passthru" /var/www/site/subdir/ --include="*.php" - 检查是否启用
allow_url_fopen=On或allow_url_include=On—— 这些配置若在子目录 php.ini 中单独开启，会放大 LFI/RFI 风险 - 验证子目录是否禁用
register_globals（虽 PHP 5.4+ 已移除，但老旧门户系统 8.1 分支仍可能保留兼容逻辑）
补充行为检测：用 PMF 扫描子目录代码层痕迹
当子目录存在用户可上传脚本、第三方插件或历史遗留模块时，需排查是否已被植入利用 php2shell（CVE-2026-109618）等漏洞的后门：
- 下载并加载 PHP 8.1 专属 YARA 规则：
./pmf.py --rules rules/php81_cves.yar /var/www/site/subdir/ - 重点识别反序列化链复用、内存越界触发模式（如含
__wakeup+unserialize+ 特定扩展调用组合） - 若发现匹配，立即隔离文件并检查其修改时间、属主及父进程，避免“已打补丁但被绕过”的情况
