动态文件包含漏洞的核心成因是用户输入未经可信校验直接参与include/require路径拼接，导致路径穿越或远程文件包含；需结合白名单、realpath校验、php.ini禁用allow_url_include及危险函数等多层防御。
动态文件包含漏洞的核心成因
动态文件包含漏洞本质是用户输入直接参与了include、require等函数的路径拼接，且未经过可信校验。典型写法如：include($_GET['page'] . '.php'); 或 require($config_dir . $_POST['module'] . '.inc');。这类代码把控制权交给了外部请求，只要参数可控，攻击者就能用../../../etc/passwd读取系统文件，或用php://filter/convert.base64-encode/resource=index.php窃取源码。
常见绕过手法与识别要点
审计时不能只看是否用了str_replace或basename，更要关注过滤是否可被绕过：
-
空字节截断：PHP magic_quotes_gpc=Off 时，
%00可截断后续扩展名，使xxx.php%00.jpg实际加载xxx.php -
路径长度截断：Windows 下超长路径（如重复256次
./）可触发内核级截断，绕过常规正则检测 -
双写/编码混淆：如将
../写成....//、%2e%2e%2f或..%2f，绕过简单字符串替换 -
伪协议滥用：即使禁用远程包含，
php://filter和php://input仍可能被用于读取或执行，尤其当allow_url_include=On时
白名单映射是最可靠防御方式
不依赖字符清洗，而是彻底切断用户输入与文件路径的直接关联：
- 定义一个键值数组，例如：
$pages = ['home' => '/var/www/inc/home.php', 'about' => '/var/www/inc/about.php']; - 接收参数后仅作键匹配：
$key = $_GET['page'] ?? ''; if (!isset($pages[$key])) die('Invalid page'); - 使用白名单中预设的绝对路径执行包含：
include $pages[$key]; - 避免任何拼接、拼装、目录拼合逻辑，杜绝路径穿越可能性
环境配置与代码层协同加固
单靠代码修复不够，需配合底层限制形成纵深防御：
立即学习“PHP免费学习笔记（深入）”；
- 在
php.ini中强制关闭危险选项：allow_url_include = Off、open_basedir = /var/www/html/ - 禁用高危函数：
disable_functions = system,exec,passthru,shell_exec,proc_open,popen - 对必须动态加载的场景，使用
realpath()获取真实路径，并严格比对是否落在白名单目录内 - 日志和会话目录不应设为 Web 可访问路径，防止被
include日志或sess_*文件实现 RCE
