一、漏洞概述

文件包含漏洞（File Inclusion Vulnerability）是指服务端使用变量来包含文件，并通过动态调用 URL 来使用这些变量。如果没有对包含的文件进行有效的过滤，那么攻击者可以利用此漏洞来调用执行恶意文件或代码，从而导致文件包含漏洞的发生。
来一个简单的例子：
假设有一个 PHP 文件 index.php，其中包含以下代码：

<?php
$page = $_GET['page'];
include($page . '.php');
?>

在这个代码中，$_GET[‘page’] 获取了 URL 中的参数，然后作为变量 $page 的值传递给 include 函数。如果攻击者能够控制 $_GET[‘page’] 的值，并将其设置为恶意文件的路径，那么这个恶意文件就会被包含并执行。

例如，攻击者可以通过 URL http://example.com/index.php?page=evil 来传递一个恶意文件 evil.php，然后该文件就会被包含并执行，从而导致安全漏洞。

二、常见的文件包含函数

1. include()：包含并运行指定文件的代码。如果文件不存在或包含出错，则会发警告继续执行脚本。

2. require()：与 include() 函数类似，但如果文件不存在或包含出错，则会产生致命错误并停止脚本。

3. include_once()：与 include() 函数类似，但只包含指定文件一次，避免重复包含同一个文件。

4. require_once()：与 require() 函数类似，但只包含指定文件一次，避免重复包含同一个文件。

5. fopen()：打开一个文件或者url

避免：在使用这些函数时，应该尽量避免将用户输入作为文件名直接传递给这些函数，而是要对用户输入进行过滤和验证，以避免文件包含漏洞。

三、文件包含漏洞分类

文件包含漏洞可以分为本地文件包含和远程文件包含两种类型。

本地文件包含漏洞：
当被包含的文件位于服务器本地时，如果未对文件路径进行足够的验证和过滤，攻击者就可以构造恶意文件路径，从而执行恶意代码。这种漏洞叫做本地文件包含漏洞。

远程文件包含漏洞：
本地文件包含和远程文件包含漏洞的原因是一样的。如果 PHP 配置文件 php.ini 中的选项 allow_url_fopen 和 allow_url_include 被开启，那么包含的文件可以是存储在第三方服务器上的文件，这样就形成了远程文件包含漏洞。攻击者可以构造恶意 URL，将恶意代码包含到受影响的页面中，从而执行攻击代码。

远程文件包含条件：需要满足两个条件。php.ini 中的配置选项为

 allow_url_fopen：on   
 
 allow_url_include：on 

如果有补充请联系本文作者

本文仅供学习交流使用，不得用于任何商业用途。文章中的观点、意见和建议仅代表作者个人，不代表本站立场。作者和本站不对使用本文所提到的技术、方法、流程和工具产生的任何后果负责。在使用这些技术、方法、流程和工具之前，请您了解自己的法律责任和风险，并采取适当的安全措施。