Discuz论坛PHP文件包含漏洞修复需三步：一禁用危险函数（如allow_url_include=Off）；二定位修补问题参数（白名单校验+路径限制）；三升级至X3.5或应用官方补丁并全量验证。
Discuz论坛PHP文件包含漏洞（如远程文件包含RFI或本地文件包含LFI）通常源于对用户可控参数（如file、template、mod等）未做严格校验，导致攻击者可加载恶意脚本或读取敏感文件。修复需从输入过滤、路径限制和配置加固三方面入手，以下为紧急处置要点：
立即禁用危险函数（临时应急）
在php.ini中禁用高危函数可快速阻断利用链：
- 将
allow_url_include = Off（默认应为Off，确认未被开启） - 设置
disable_functions = include, require, include_once, require_once, file_get_contents, fopen, readfile（注意：仅限紧急阶段，部分功能可能受影响，后续需精准修复） - 重启Web服务使配置生效（如
systemctl restart apache2或service php-fpm restart）
定位并修补问题参数（核心修复）
常见漏洞点集中在source/class/class_core.php、source/function/function_core.php及插件/模板调用逻辑中。重点检查以下情况：
- 搜索代码中类似
include $_GET['file']、require $tplfile等动态包含语句，替换为白名单控制方式 - 对
$_GET['mod']、$_GET['template']等参数，强制限定为预定义值，例如：$mod = in_array($_GET['mod'], ['forum', 'home', 'group']) ? $_GET['mod'] : 'forum'; - 所有路径拼接前使用
realpath()+strpos()校验是否位于程序根目录内，防止../绕过
升级与补丁验证（长期保障）
官方已针对多个历史版本（如X3.4及更早）发布安全更新：
立即学习“PHP免费学习笔记（深入）”；
- 升级至Discuz! X3.5正式版（含完整路径白名单与参数过滤机制）
- 若无法升级，手动应用官方安全补丁包（参考Discuz! 官网“安全公告”栏目对应CVE编号，如CVE-2021-XXXXX）
- 修复后，用PoC验证：访问
forum.php?mod=../../etc/passwd或api.php?file=php://filter/read=convert.base64-encode/resource=source/class/class_core.php，应返回404或空内容，而非文件内容或错误泄露
不复杂但容易忽略：很多站点在修复时只改了前台入口，却遗漏了API接口、后台AJAX路由或第三方插件中的类似逻辑，务必全量扫描.php文件中的include/require动态调用。
