怎么对付php漏洞，什么是WEB渗透工程师？
主要是做：
1、负责渗透测试技术服务实施，编写渗透测试报告；
2、负责渗透测试技术交流、培训；
3、负责代码审计、漏洞检测与验证、漏洞挖掘；
4、负责最新渗透测试技术学习、研究。应聘这样的职位有一定的职业要求：1、熟悉交换路由等网络协议、熟悉ACL、NAT等技术、熟悉网络产品配置和工作原理；熟悉LINUX、AIX等操作系统安全配置；熟悉ORACLE、MSSQL、MYSQL等数据库安全配置；熟悉WEB、FTP、邮件等应用安全配置；2、能熟练使用各类渗透测试工具，熟悉手工注入、上传、中间人攻击测试、业务逻辑漏洞测试；3、熟悉HTML、XML、ASP、PHP、JSP等脚本语言，会使用C/C++、JAVA、.net、PYTHON等进行程序开发；4、熟悉木马、后门技术、SHELLCODE技术、免杀技术、密码pj技术、漏洞挖掘技术、远程控制技术等。
都用的是php写的源码？
第一 PHP语言本身漏洞相当多，尤其是很多人不喜欢用最新版本，现在PHP8都发布了，现在竟然还有一大批人用PHP5.2， 越早的版本漏洞越多。 漏洞多自然就好做渗透。
第二 PHP web框架漏洞也非常多。 国内最常用的PHP框架 thinkphp经常爆出各种严重漏洞，比如5.x的远程可执行命令漏洞，导致大量使用此框架的网站中招。 这个漏洞利用之容易，做个程序可以随便感染一大批网站。 有的人利用这个漏洞拿到的肉鸡多到自己都数不过来。
反观Java web， 大多数人都会用sprint 全家桶。 而Spring MVC 和Spring security提供的安全认证，起安全性都是非常强的。
虽然Spring也出一些漏洞，但是我印象中还没有出过非常容易利用，非常简单就能拿到最高权限的傻瓜式漏洞。
第三 网上劣质php源码最多。 很多人是根本不具备独立编程能力的，这些所谓的“程序员”最喜欢干的事是去网上下载各种免费源码，然后改吧改吧就算自己做了网站了。
这种免费源码，以PHP居多。什么的dede CMS，什么xxshop，xxmall，微盟， 这里垃圾PHP源码简直是千疮百孔，漏洞百出。可以说是黑客们的最爱。 用这类垃圾源码最的网站，随便一个中学生捣鼓捣鼓就能入侵， 简直和裸奔没啥区别。
同时，会用这些垃圾代码做网站的程序员，一般水平都不会太高，按理说连编程入门都算不上。这些所谓程序自然根本无法做到防止黑客入侵。
第四 很多人安全意识太差。 不管你用什么语言做网站，大多都要在网站程序外在跑一个Nginx，apache，或者IIS。 即使使用Java， Nginx 做反向代理+静态处理，后面再加tomcat的构架也很多。
凡是，很多人要么是技术不到位，要么是偷懒，不去自己编译tomcat或者apache，而是用网上现成的的一键安装包或者傻瓜安装程序。这些程序可能会默认安装PHP支持。
也就是说，一些安全意识不强或者水平比较差的程序员编写的java web 很有可能也会支持PHP。
很多人在入侵提权的时候，不管你是什么网站，都会先试一下PHP能不能执行，入侵几率比较高。
关于最后一个问题， 如果你找到了Java web的漏洞，可以上传文件了， 下一步要做的就是提权。这个时候你直接上传Java源代码是没有用的。 php是动态执行的，源码可以直接被执行，而Java则需要编译。
拿到上传权限后想提权，就必须先弄清楚对方服务器的jre版本，然后再本地用相应的版本编译后，再把jar包传上去，才能够执行。
这里还有一个不同，一般php提权，只需要拿到网站根目录的上传权限即可。 但是Java web 很有可能网站的根目录，和存放可执行jar包的目录不是一个目录，想要执行Java代码，你就必须想法拿到jar包所在目录的上传权限（同时也要拿到网站根目录权限），这是一个难点。
Overflow遭到网络攻击？
Stack Overflow是面向编程和开发相关话题的互联网最大IT技术问答网站。在其官网上发布的一则简短公告中表示，有黑客访问了公司的内部网络。Stack Overflow工程副总裁Mary Ferguson表示：“上周末，Stack Overflow遭到了网络攻击。”
图片来自于 Stack Overflow
在公告中写道：“我们已经确认黑客于5月11日获得了一定程度的生产访问。我们在发现入侵之后就立即调查了黑客访问的范围并解决了所有已知的漏洞。”Ferguson表示目前并没有直接证据表明黑客窃取了用户的登陆凭证，但是目前不能百分百排除这种可能。在公告中Ferguson表示在调查结束之后会公布更多的细节。
Stack Overflow是一个程序设计领域的问答网站，隶属Stack Exchange Network。网站允许注册用户提出或回答问题，还可对已有问题或答案加分、扣分或进行修改，条件是用户达到一定的“声望值”。“声望值”就是用户进行网站交互时能获取的分数，例如，用户A回答了一个问题，用户B对用户A的解答给予了“加分”，用户A就会因而获得10点声望值。当声望值达到某个程度，用户的权限就会增加，如声望值超过50点就可以评论答案，另外网站也会根据用户的贡献颁发徽章。用户创建的内容都使用知识共享协议授权。
直至2018年9月，Stack Overflow有超过9,400,000名注册用户和超过16,000,000个问题，其中最常见的主题有JavaScript、Java、C#、PHP、Android、Python、jQuery和HTML。
你觉得最好用的cms系统是哪个？
因此，市面上基于PHP语言的cms系统真的太多，例如帝国CMS、dedecms、phpcms、xunruicms等等，还有很多个人开发的cms系统，就不一一列举了。
所以，选择一个适合自己的CMS程序就比较头痛了，我们总结了用户们选择CMS的经验，可以分享给大家参考：
一、选择开源软件必先了解开源协议
开源（Open Source，开放源码)被非赢利软件组织（美国的Open Source Initiative协会）注册为认证标记，并对其进行了正式的定义，用于描述那些源码可以被公众使用的软件，并且此软件的使用、修改和发行也不受许可证的限制。
目前已有的开源许可协议有 如果cms厂家没有公布cms使用的哪种开源许可时，就说明他并不是真正的开源程序，会引起版权纠纷的风险。
迅睿CMS框架基于MIT开源协议，MIT 协议是所有开源许可中最宽松的一个，具体可以百度搜索项相关协议全文。
二、了解CMS的研发团队
cms程序开发来说是比较简单的，招聘一两个PHP技术员就复刻一套比较完善的cms系统，开发任何一个软件不能当做快餐式开发，都需要的长时间的打磨和技术沉淀，否则会漏洞频出，导致网站不稳定；
所以，开发经验累积是最重要的，我们已经坚持10余年了，技术能力没的说。
了解Xunruicms研发历程
三、是否有维护团队
迅睿售后维护团队是非常强大的，我们论坛基本上帖子是秒回状态，我们以最快的速度为用户解决问题。
任何用户（无论你是授权用户还是免费用户）都可以在官网论坛提问，Xunruicms官方技术都会几分钟内回复你;
四、软件的持续更新
迅睿研发团队会一直在更新升级功能，每季度会发布一次新的版本，CMS程序一定要保持更新，支持到最新的PHP环境。
Xunruicms更新进度
5、软件安全与漏洞修复
任何程序都会存在漏洞（苹果/windows都会有漏洞），不要隐瞒漏洞，我们会不断的去发掘漏洞、修复漏洞。Xunruicms漏洞公示
PHP的开发效率比java要高？
感谢邀约，从我国目前的形式来看，php的招聘岗位确实是越来越少，大公司也是越来越少用php呢？以下是我的观点，仅供参考，欢迎大家指正：
不得不承认PHP的开发效率确实很高php和MySQL是完美搭配，他们是天生一对，PHP操作MYSQL具有天生的优势。
PHP和Apache、nginx是绝配，完美支持，代码丢在服务器上，很快就能跑起来。
在数据操作上，我还没看到哪种语言能像PHP那样完美的操作数组，你都无法想象的操作，它都帮你想到了，大大节省了开发时间。
PHP天生就是为WEB而生，全球大部分的网站都是PHP写的，尤其是国外，wordpress像神一般的存在，使用的人越来越多。Web开发相关的，只要你想到的他都有，比如：什么协议相关、请求响应、加密处理、各种流应有尽有。
社区资源、开源插件相当丰富，总有一款适合你的。
动态语言、弱类型的灵活度，加上PHP后来增强的类型提示，让你很灵活的使用。
还有目前我认为很强悍的的PHP框架——Laravel 设计如此之完美和精妙，用上了，估计你就很难再爱上其他的框架了，相关的插件也很多，十分丰富。
对比下PHP和JAVA的主要区别虽然php有如此多的有点，为啥用不起来呢？这里不谈论JAVA的优点，我们来看看两者主要的区别：
1、语言特点的主要区别
PHP属于弱类型语言，给予程序员的空间太大，语言太灵活，不好约束开发者；
Java属于强类型，语法看似啰嗦，实则非常规范，教条，更容易标准化。
2、就业机会
现在越来越多的公司用JAVA，放弃PHP，造成了市面上JAVA的需求多于PHP。学PHP的人也越来越少。不管是在一线城市，还是在二三线城市，很多项目都要求JAVA，比如政府采购项目。
再从人的角度来分析，不是语言不好，在大型项目上真正会应用的人并不多个人感觉不是php不行，而是大部分php开发人员都是自学成才，缺乏专业的理论学习，比如数据结构，设计模式、面向对象的思想、单元测试的经验都是欠缺的，市面上针对PHP系统培训的机构又比较少，在编程习惯和开发流程上，由于其语言太灵活太方便，造成了在多人配合时，如果团队缺乏核心主力的情况下，用PHP写出的程序在代码结构、测试、项目人员沟通及代码重用方面都会造成各种问题，很不利大型项目的管理和开发，除了这个方面，真正能够把控PHP项目的人才很难找，能把PHP用好的公司并不多，除此之外学PHP的开发人员也越来越少，不得不说，目前PHP的局面是比较尴尬的。
小节今天的内容就和大家分享到这里，虽然PHP的效率开发高，但是我们不得不承认效率高，是有代价的，换来的就是在企业级大型项目上的弱势，毕竟现在一个项目是多人完成，很多公司宁愿牺牲效率，换取可持续规范性稳定和安全性。
感谢大家阅读，如果你有什么好的想法欢迎到留言区分享交流，如果你赞同我的回答，欢迎给个赞和转发，谢谢支持。