搭建PHP 7.4本地漏洞扫描环境需三步：一是选用PHPStudy（TS）、宝塔（FPM）或Apache+NTS组合，确保与靶场（如Pikachu）兼容；二是配置php.ini（display_errors=Off、allow_url_include=Off）、Web服务器伪静态及上传参数；三是用Burp/sqlmap等工具调参适配，并通过Pikachu验证扫描链路，全程限制本地访问。
搭建本地环境扫描 PHP 7.4 网站漏洞，核心是「能跑起来 + 能被扫到 + 不误报不漏报」。这不是装个扫描器就完事，而是要让目标网站在真实 PHP 7.4 环境下稳定运行，同时确保扫描器能正确识别路径、响应和交互逻辑。
选对环境组合，避免兼容性翻车
PHP 7.4 是很多经典靶场（如 Pikachu、XSS-Platform）和老 CMS（如 WordPress 5.6–6.0、Drupal 8.9）的推荐版本。但注意：
- 避免用 PHP 8.x 扫 PHP 7.4 专属漏洞（如某些
unserialize()行为差异、mbstring处理边界变化）； - 不要用线程安全（TS）版 PHP 搭配 Apache 的 mpm_winnt 模式以外的场景——Windows 下若用 IIS 或 Nginx + PHP-FPM，必须选 Non-Thread-Safe（NTS） 版本；
- 推荐组合：PHPStudy（含 PHP 7.4 TS）、宝塔（Linux + PHP 7.4 FPM）、或手动搭建 Apache 2.4 + PHP 7.4 NTS + MySQL 5.7。
让网站可访问且行为真实
扫描器依赖 HTTP 响应头、状态码、重定向、Cookie、JS 跳转等信号判断漏洞。如果环境配置失当，扫描结果会大量失效：
- 确保
display_errors = Off、error_reporting = E_ALL & ~E_NOTICE（php.ini），否则错误信息泄露干扰判断； - 开启
allow_url_fopen = On和allow_url_include = Off（兼顾功能与安全基线）； - Apache 需启用
rewrite_module，Nginx 需配好try_files $uri $uri/ /index.php?$query_string，否则 ThinkPHP、Laravel 等框架的路由扫描会全盘失败； - 若网站含上传功能，确认
upload_max_filesize = 64M、post_max_size = 128M，否则扫描器传 payload 直接 413。
配置扫描器适配 PHP 7.4 特征
常用工具如 Burp Suite、sqlmap、Arachni、Nikto、w3af，需针对性调参：
- sqlmap 加
-p id --level=5 --risk=3强化对mysql_real_escape_string()过滤绕过（PHP 7.4 已移除该函数，但靶场常模拟旧逻辑）； - Burp 的 Active Scan 要勾选 “Check for reflected XSS in script context”，因 PHP 7.4 默认
default_charset = UTF-8，影响<script></script>内容解析； - Arachni 启动时加
--http-user-agent "Mozilla/5.0 (PHP7.4; scan)"，避免被 WAF 规则拦截； - 扫描前用
curl -I http://target/test.php检查是否返回X-Powered-By: PHP/7.4.33，确认服务端标识真实。
用靶场验证扫描链路是否通
别急着扫自己写的代码，先拿标准靶场走通全流程：
- 下载 Pikachu（PHP 7.4 兼容版），解压到 PHPStudy 网站根目录；
- 导入
pikachu.sql到 MySQL，修改config.inc.php中数据库凭证； - 浏览器访问
http://pikachu.test，确认各模块（SQLi、XSS、文件包含）能正常交互； - 在 Burp Proxy 中打开浏览器，访问
http://pikachu.test/vul/sqli/sqli_id.php?id=1，再用 Repeater 发送id=1'，观察是否返回 MySQL 报错——这是扫描器识别注入点的关键依据。
最后一步：关掉公网入口，只留本地通信
所有操作必须满足：
- hosts 文件绑定域名（如
127.0.0.1 pikachu.test），不依赖 DNS； - 防火墙阻止 80/443 端口对外；
- PHPStudy 或宝塔中关闭“远程访问数据库”、“phpMyAdmin 公网访问”；
- 扫描器 Target 设置为
http://127.0.0.1或http://pikachu.test，绝不填http://localhost（部分扫描器会跳过 loopback 解析）。
这样搭出来的环境，既能复现 PHP 7.4 下的真实漏洞表现，又不会触发误报或连接超时，扫得准、看得清、练得稳。
