为什么被渗透的网站大多是 PHP 开发的?

谢邀。

题主只要稍微有点Web网站开发或者程序员背景，就应该知道这个梗：「PHP是地球上最好的语言」。

在这个梗背后，你还需要知晓一点，世界上目前现存的应用最广泛的CMS，大部分基于PHP实现。比如，我们要搭建博客，直接用 WordPress；需要企业建站，国外考虑 Joomla 或Drupal，国内考虑DedeCMS；需要搭建电商交易平台，有 ECshop；要做论坛，则有 Discuz 之类的。

因此，互联网现存的很多网站，只要企业没有自研团队或者需求不复杂，能基于市面上已有的、稳定的、开源的、免费的 PHP CMS 快速搞定，直接拿来就用无需重复造轮子，何乐而不为呢？

简单来说，尽管当今网站开发技术栈，已逐步迁移到 Java、Python、Go，但 PHP 的网站语言比例仍然很高。

有了上面的背景，题主就能理解「被渗透的网站大多是PHP开发的」了，你想想，但凡 WordPress 或 Discuz 爆一个漏洞出来，那不一撸一大把？

当然，当前实际的安全测试项目中，很多客户是同时有基于 PHP、Java、Python等不同技术栈的业务系统，例如企业官网用 PHP 、业务系统用 Java 、运维平台用 Python。

因此，题主还问到的「想继续研究网络研发，有必要学学 PHP吗？」，这个当然是必备的。从安全工作需求来看，精通一门语言，其他语言也要有所涉猎。

另外，想要接触不同语言的不同渗透测试案例，新手的话我建议先从 OWASP BWA 这个靶场开始，这里集成了PHP、Java、Python 等不同语言做的靶机，例如安全圈大家最熟悉的 DWVA、WebGoat、Mutillidae 等。

OWASP BWA 官方下载地址：https://sourceforge.net/projects/owaspbwa/

【推荐文章】by @拼客学院陈鑫杰