joomscan仅适用于joomla cms，不能扫描通用php漏洞；它依赖joomla特有路径、文件和函数，不解析php代码逻辑，也不支持wordpress等其他php站点。
别用 joomscan 挖 PHP 漏洞 —— 它只针对 Joomla，不是通用 PHP 漏洞扫描器。
为什么 joomscan 和“PHP 漏洞”根本不是一回事
joomscan 是专为 Joomla CMS 设计的指纹识别与漏洞探测工具，底层依赖 Joomla 特定的路径（如 /administrator/manifests/files/joomla.xml）、扩展名（.xml 清单文件）、核心函数（JFactory::getApplication()）和已知 Joomla 插件/模板的 CVE 列表。它不会解析 PHP 代码逻辑、不检测 SQLi/XSS/反序列化等通用 PHP 层漏洞，也不支持对非 Joomla 的 PHP 站点（比如自写 PHP、WordPress、ThinkPHP、Laravel）做有效扫描。
常见误操作包括：对一个 index.php 页面直接跑 joomscan -u http://target.com/index.php，结果返回 [!] Target is not a Joomla! site 后就放弃 —— 这不是工具问题，是目标类型错配。
真正该用什么工具挖 PHP 站点的漏洞
根据目标形态选工具，不是硬套 joomscan：
