本地文件包含和远程包含

什么是文件包含？
在文件包含里面，我们要想方设法把真正包含的文件掉包，换成恶意文件，服务器却不知道。
文件包含：是一种代码处理方式，当一个代码文件想要引用另外一个代码文件，就要用到包含，常见的包含函数有include、require等，参数是文件名。但是如果文件包含的参数用户可控且过滤不严，被攻击者偷梁换柱。
Include()
Include_once()
Require()
Require_once()
LOW等级：
首先进行正常的操作：点击fil1和file2时，仅仅是配置参数的变化，而其他并没有变化，这个参数便是可以利用的。
首先进行尝试，将这个参数随便改成test.php，显示找不到文件，证明这个参数是可以利用的。如图可以看到错误信息，同时爆出来web的绝对路径。

进一步思考，如果我们要包含根目录里面的php.ini文件，就要跳转到上两级目录，如下图所示
查看是否打开可利用选项

allow_url_fopen = On
是否允许将URL（如http：//或ftp：//）作为文件处理。
allow_url_include = Off
是否允许include/require打开URL（如http：//或ftp：//）作为文件处理。
注意：
从PHP5.2开始allow_url_include就默认为Off了，而allow_url_fopen一直是On的。
接下来思考如何进行攻击：
1、本地文件执行：
尝试读取DVWA跟目录下面的phpinfo.php文件，如图所示，表明了文件包含不仅仅能读取文件，换能够执行文件。
上传一个好的文件本地包含查看

正常显示
包含显示
2、远程文件执行：
在DVWA跟目录下面放一个phpinfo.txt文件，然后进行远程包含：如下图所示，说明是可以远程包含php文件的，而且非php的文件，只要里面包含了php格式的代码都可以正常执行。经过进一步尝试远程的phpinfo.php文件也可以执行,但两者的区别是.txt显示的是DVWA的域名，而.php文件显示的是本地127.0.0.1。我们要清楚远程的执行不是在攻击者的web服务器上执行，而是在受害者web服务器上执行命令，所以phpinfo.txt才是正经。
攻击思路：a现在要攻击b，攻击者首先在a上传有webshell代码的文本文件，得到URL，找到b的文件包含漏洞，就成功地执行了webshell，获得了b的web权限。