Windows Server环境下PHP调用Nmap时shell_exec等执行函数无输出运行失败

你在proc_open测试中拿到的返回值-1073741515，转换为十六进制是0xC0000135，对应Windows系统错误码STATUS_DLL_NOT_FOUND，代表Nmap进程还没完成初始化就因为找不到依赖DLL直接退出，自然不会产生任何命令输出。

你代码中存在的明确错误点 #

• 调用路径写错：所有写C:\nmap的调用都没有指向真实的可执行文件，Windows下Nmap默认安装路径为C:\Program Files (x86)\Nmap\nmap.exe，必须带完整的.exe后缀和安装目录路径。
• 函数使用逻辑错误：passthru()本身是直接将命令输出推送到输出缓冲，没有返回值，写$output = passthru('nmap -V')的方式永远拿不到返回内容，写法本身错误。
• proc_open环境变量覆盖错误：给proc_open的$env参数传入自定义数组，会完全替换子进程继承的系统环境变量，你只传了['some_option' => 'aeiou']，相当于把Nmap启动需要的PATH、系统目录路径等核心环境变量全部清空，必然启动失败。
• 命令逻辑错误：使用fpassthru('C:\nmap -V')的写法本身无法执行系统命令，fpassthru是用来处理文件句柄的，不能直接传命令字符串执行。

分步排查与解决 #

1. 修复proc_open的环境变量配置 #

如果要使用proc_open调用，要么直接把$env参数设为null，让子进程完整继承PHP进程的所有系统环境变量；要么在自定义的$env数组中手动补全系统PATH，把Nmap的安装目录加入PATH中。
修正后的基础测试代码示例：

$descriptorspec = [
    0 => ['pipe', 'r'],
    1 => ['pipe', 'w'],
    2 => ['file', 'errors/errors.txt', 'a']
];
// 不要传自定义的$env数组，设为null即可继承父进程环境
$process = proc_open(
    '"C:\Program Files (x86)\Nmap\nmap.exe" -V',
    $descriptorspec,
    $pipes,
    null,
    null // 这里之前是自定义的单键数组，是错误根源
);

if (is_resource($process)) {
    fclose($pipes[0]);
    echo stream_get_contents($pipes[1]);
    fclose($pipes[1]);
    $returnValue = proc_close($process);
    echo "命令返回码：{$returnValue}";
}

2. 解决DLL依赖加载问题 #

即使环境变量没被覆盖，Windows下PHP调用外部程序时也经常出现Nmap找不到自带依赖DLL的问题，解决方法：

• 调用前通过cmd临时把Nmap安装目录加入PATH，示例命令：

  cmd /c set PATH=%PATH%;"C:\Program Files (x86)\Nmap" && "C:\Program Files (x86)\Nmap\nmap.exe" -V
  

• 给PHP运行的服务账号（通常是IIS应用程序池的独立账号、或IUSR账号）开放Nmap安装目录的读取+执行权限，避免因为权限不足无法加载目录下的DLL。

3. 排除PHP本身的命令执行限制 #

如果修正路径和环境变量后依然没有输出，检查PHP配置：

• 打开php.ini，检查disable_functions列表，确认exec/shell_exec/system/passthru/proc_open没有被加入禁用列表
• 关闭PHP的safe_mode（仅老版本PHP存在该配置），该模式开启后会严格限制外部命令的执行路径
• 检查站点应用程序池的权限配置，不要以内置管理员身份运行PHP服务，普通用户权限反而能避免UAC拦截导致的命令执行失败

4. 分层验证执行链路 #

不要一开始就跑Nmap扫描命令，逐层验证功能是否正常：

• 先测试基础系统命令：执行echo shell_exec('cmd /c echo test');，如果没有输出，说明是PHP本身的命令执行功能被阻断，和Nmap无关，需要先解决PHP层面的限制
• 再测试Nmap可执行文件的基础输出：执行echo shell_exec('"C:\Program Files (x86)\Nmap\nmap.exe" -V');，能拿到版本输出后，再替换为实际的扫描参数。

内容的提问来源于stack exchange，提问作者t0rxe