PHP 5.2 远程文件包含漏洞成功利用必须同时满足：1. php.ini 中 allow_url_fopen=On；2. allow_url_include=On；此外还需存在未过滤的动态包含代码、服务器可出网且协议未被禁用。
PHP 5.2 中远程文件包含（RFI）漏洞要成功利用，必须同时满足两个核心配置条件，缺一不可：
php.ini 必须启用 allow_url_fopen
该选项控制 PHP 是否允许通过 URL 封装协议（如 http://、ftp://）打开远程资源。默认值为 On，但若被手动关闭，则 RFI 无法发起请求。
php.ini 必须启用 allow_url_include
这是 RFI 的关键开关。PHP 5.2 起该选项默认设为 Off，仅当显式设为 On 时，include()、require() 等函数才允许直接包含远程 URL 地址。没有它，即使 allow_url_fopen=On，也只能读取、不能执行远程内容。
其他必要前提
- 目标代码中存在动态文件包含，例如：
include($_GET['file']);或类似逻辑 - 用户可控参数未经过滤或白名单限制（如未拦截
http://、https://协议） - Web 服务器能正常出网（无防火墙/NAT/代理阻断外连）
- PHP 版本未禁用相关协议（如某些定制编译版本移除了
http封装器）
注意：PHP 5.2 后已默认关闭 allow_url_include，因此现实中遇到可利用的 RFI，往往意味着服务端配置明显滞后或人为开启了高危选项。
立即学习“PHP免费学习笔记（深入）”；
