目录遍历漏洞本质是用户输入未经校验参与路径拼接，结合系统路径归一化导致越权访问；关键在代码逻辑与配置，而非PHP版本本身，需重点检查文件操作函数对参数的处理方式。

PHP 8.3 网站本身不决定是否“存在”目录遍历漏洞，真正起作用的是代码逻辑和服务器配置。扫描的目标不是 PHP 版本，而是应用中对用户输入路径参数的处理方式是否安全。

明确扫描对象：找对入口点

目录遍历漏洞常出现在以下功能中，需重点排查：

• 文件下载接口（如 /download?file=report.pdf）
• 图片预览或附件展示（如 /view?img=avatar.jpg）
• 模板加载、日志读取、配置查看等后端读文件功能
• 使用 include、require、file_get_contents、readfile、fopen 等函数且拼接了用户输入的场景

手动验证常用 Payload（适用于 PHP 8.3 环境）

在目标参数处依次尝试以下典型路径穿越载荷，观察响应差异（如返回 200 + 敏感内容、报错信息泄露路径、或 HTTP 状态码异常）：

• ../../../etc/passwd（Linux 系统典型测试）
• ..%2f..%2f..%2fetc%2fpasswd（URL 编码绕过）
• ....//....//....//etc/passwd（双斜杠归一化绕过）
• %2e%2e%2f%2e%2e%2f%2e%2e%2fetc%2fpasswd（双重 URL 编码）
• ..\..\..\Windows\win.ini（Windows 环境备用）

注意：PHP 8.3 默认启用更严格的错误报告，若返回完整路径或 Warning（如 “failed to open stream: No such file or directory”），说明路径被实际解析，具备可利用基础。

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

立即学习“PHP免费学习笔记（深入）”；

工具辅助扫描（需配合人工判断）

可选用轻量级、支持自定义 Payload 的工具提高效率：

• WebCruiser v2.40：专为 Web 路径类漏洞设计，内置 ../ 变体与编码规则，适合快速覆盖常见参数
• ffuf 或 dirsearch：配合字典（如 traversal.txt）对疑似文件参数进行 fuzz，例如：
  ffuf -u "https://site.com/download?file=FUZZ" -w traversal.txt
• 手动 Burp Suite Intruder：将请求发到 Repeater，对 filename 类参数设置 Payload Set，导入多编码 payload 列表，观察响应长度/状态码/关键词（如 root:x:0:0）

关键检查点：别只看扫描结果

即使工具未报出漏洞，仍需确认以下三点是否落实：

• 服务端是否对参数做了 规范化校验（如用 realpath() 获取绝对路径后，判断是否以白名单基目录开头）
• 是否禁用危险函数的动态路径调用（如 include($_GET['page']) 未加白名单映射）
• Web 服务器（如 Nginx/Apache）是否关闭了目录浏览（autoindex off / Options -Indexes），防止枚举暴露结构