为什么现在web渗透用php写的源代码？
第一 PHP语言本身有很多漏洞，特别是很多人不喜欢使用最新版本，现在PHP8已经发布了，现在有很多人使用PHP5.2， 版本越早，漏洞就越多。 有很多漏洞自然很容易渗透。
第二 PHP web框架也有很多漏洞。 中国最常用的PHP框架 thinkphp经常出现各种严重的漏洞，如5.x的远程可执行命令漏洞，导致大量使用此框架的网站被招募。 这个漏洞很容易使用，做一个程序可以随意感染大量的网站。 有些人利用这个漏洞得到的肉鸡太多了，自己数不过来。
相反，Java web， 大多数人使用sprint 全家桶。 而Spring MVC 和Spring security提供的安全认证具有很强的安全性。
虽然Spring也有一些漏洞，但在我的印象中，没有一个傻瓜式的漏洞很容易使用，很容易获得最高权限。
第三 网上劣质php源码最多。 许多人根本没有独立编程的能力。这些所谓的“程序员”最喜欢做的事情是在网上下载各种免费源代码，然后改变它，即使他们做了一个网站。
这种免费源代码大多是PHP。什么dede？ CMS，xxshop是什么，xxmall，微盟， 这里的垃圾PHP源码简直是千疮百孔，漏洞百出。可以说是黑客的最爱。 用这种垃圾源码最多的网站，任何一个中学生都可以入侵， 和裸奔没什么区别。
同时，会使用这些垃圾代码作为网站程序员，一般水平不会太高，甚至编程入门也不合理。这些所谓的程序自然不能防止黑客入侵。
第四 许多人的安全意识太差。 不管你用什么语言做网站，大部分都要在网站程序外跑Nginx，apache，或者IIS。 即使使用Java， Nginx 做反向代理+静态处理，后面加tomcat的架构也很多。
无论如何，许多人要么技术不到位，要么懒惰。他们不自己编译tomcat或apache，而是使用现成的在线一键安装包或傻瓜安装程序。这些程序可能默认安装PHP支持。
也就是说，一些安全意识薄弱或水平差的程序员编写的java web 也有可能支持PHP。
很多人在入侵提权的时候，不管你是什么网站，都会先试试PHP能不能执行，入侵概率比较高。
关于最后一个问题， 如果你找到了Java web漏洞，可上传文件， 接下来要做的就是提高权利。此时直接上传Java源代码是没有用的。 php是动态执行的，源代码可以直接执行，Java需要编译。
如果你想在获得上传权限后提高权限，你必须首先找出对方服务器的jre版本，然后用相应的本地版本编译，然后传输jar包，然后才能执行。
还有一个区别，一般php提权，只需要获得网站根目录的上传权限即可。 但是Java web 很有可能网站的根目录和存储可执行jar包的目录不是一个目录。如果你想执行java代码，你必须考虑获得jar包所在目录的上传权限（同时获得网站根目录权限），这是一个困难。