第壹PHP語言本身漏洞相當多，尤其是很多人不喜歡用最新版本，現在PHP8都發布了，現在竟然還有壹大批人用PHP5.2，越早的版本漏洞越多。漏洞多自然就好做滲透。
第二PHPweb框架漏洞也非常多。國內最常用的PHP框架thinkphp經常爆出各種嚴重漏洞，比如5.x的遠程可執行命令漏洞，導致大量使用此框架的網站中招。這個漏洞利用之容易，做個程序可以隨便感染壹大批網站。有的人利用這個漏洞拿到的肉雞多到自己都數不過來。
反觀Javaweb，大多數人都會用sprint全家桶。而SpringMVC和Springsecurity提供的安全認證，起安全性都是非常強的。
雖然Spring也出壹些漏洞，但是我印象中還沒有出過非常容易利用，非常簡單就能拿到最高權限的傻瓜式漏洞。
第三網上劣質php源碼最多。很多人是根本不具備獨立編程能力的，這些所謂的“程序員”最喜歡幹的事是去網上下載各種免費源碼，然後改吧改吧就算自己做了網站了。
這種免費源碼，以PHP居多。什麽的dedeCMS，什麽xxshop，xxmall，微盟，這裏垃圾PHP源碼簡直是千瘡百孔，漏洞百出。可以說是黑客們的最愛。用這類垃圾源碼最的網站，隨便壹個中學生搗鼓搗鼓就能入侵，簡直和裸奔沒啥區別。
同時，會用這些垃圾代碼做網站的程序員，壹般水平都不會太高，按理說連編程入門都算不上。這些所謂程序自然根本無法做到防止黑客入侵。
第四很多人安全意識太差。不管妳用什麽語言做網站，大多都要在網站程序外在跑壹個Nginx，apache，或者IIS。即使使用Java，Nginx做反向代理+靜態處理，後面再加tomcat的構架也很多。
凡是，很多人要麽是技術不到位，要麽是偷懶，不去自己編譯tomcat或者apache，而是用網上現成的的壹鍵安裝包或者傻瓜安裝程序。這些程序可能會默認安裝PHP支持。
也就是說，壹些安全意識不強或者水平比較差的程序員編寫的javaweb很有可能也會支持PHP。
很多人在入侵提權的時候，不管妳是什麽網站，都會先試壹下PHP能不能執行，入侵幾率比較高。
關於最後壹個問題，如果妳找到了Javaweb的漏洞，可以上傳文件了，下壹步要做的就是提權。這個時候妳直接上傳Java源代碼是沒有用的。php是動態執行的，源碼可以直接被執行，而Java則需要編譯。
拿到上傳權限後想提權，就必須先弄清楚對方服務器的jre版本，然後再本地用相應的版本編譯後，再把jar包傳上去，才能夠執行。
這裏還有壹個不同，壹般php提權，只需要拿到網站根目錄的上傳權限即可。但是Javaweb很有可能網站的根目錄，和存放可執行jar包的目錄不是壹個目錄，想要執行Java代碼，妳就必須想法拿到jar包所在目錄的上傳權限（同時也要拿到網站根目錄權限），這是壹個難點。