网安面经之文件包含漏洞

一、文件包含漏洞

1、文件包含漏洞原理？危害？修复？

原理：⽂件包含函数加载的参数没有经过过滤或者严格的定义，可以被⽤户控制，然后包含了其他的恶意⽂件，就导致了执⾏了⾮预期的代码。然后导致客户端就可以调⽤⼀个恶意⽂件，造成⽂件包含漏洞。

危害：可能会造成读取⽂件、远程⽂件读取实现⽹站挂⻢、利⽤php://input伪协议可以执⾏任意脚本代码等危害。

修复：1、过滤：对传⼊的⽂件名进⾏过滤、对敏感路径的关键字进⾏过滤。

           2、对php.ini配置⽂件进行参数设置：

           3、对包含的文件范围做出限制：比如设置后台定义被包含⽂件的⽩名单、配置open_basedir=指定⽬录，限制访问区域、修改Apache⽇志⽂件的存放地址。

2、文件包含的函数？

3、文件包含支持的协议