Web信息安全9-任意文件包含漏洞防御

原理

通过用户提供的文件路径，直接返回文件。如果用户提供的是数据库配置文件路径，也返回

攻击演示

1. 启动DVWA, 进入File Inclusion
2. 点击file1.php, 页面内容发生变化，页面URL也发生变化http://127.0.0.1/dvwa/vulnerabilities/fi/?page=file1.php, 后端通过拿到?page=的路径返回文件内容，如果我们给定任意一个文件路径，非页面上指定的file1.php 、file2.php 、 file3.php呢
3. 地址栏输入http://127.0.0.1/dvwa/vulnerabilities/fi/?page=../sqli/index.php, 就可以访问到了另一个文件

防御

设置访问目录白名单