《Web安全程序设计与实践》课件项目16.pptxVIP

项目16文件包含漏洞

【项目描述】本项目对文件包含漏洞和防护进行实训。本项目包含三个任务，首先建立一个具有PHP动态文件包含功能的目标网站，然后利用动态文件包含功能实现对目标网站的攻击，最后通过设置正则表达式实现对包含的动态文件实现过滤以防护文件包含攻击。通过本项目实训，可以解释和分析PHP文件包含功能的作用、文件包含漏洞产生的原理和危害，能够应用正则表达式过滤方式实现对非法文件包含的防护

【知识储备】文件包含的概念文件包含是网页程序设计语言的基本功能。使用文件包含功能，可以将一个网页文件插入到另一个网页文件中。这意味着可以为所有页面创建并包含标准页头、页脚或者菜单文件，比如在需要更新页头时只需更新包含的页头文件即可，使得网站设计省去大量的重复工作。按照被包含文件的位置，PHP文件包含可以分为本地文件包含和远程文件包含。本地文件包含指被包含的文件在服务器本地；远程文件包含指被包含的文件在第三方服务器。按照是否支持参数方式，PHP文件包含包括静态文件包含和动态文件包含两类。静态文件包含在PHP脚本文件中使用文件包含函数将需要包含的网页文件路径写入，动态文件包含则将需要包含的文件路径以Get方式接收

文件包含漏洞的原理如果文件包含的对象是预先设计的静态固定文件，则不会出现文件包含问题，比如前面的项目中大量使用的include_oncefunctions.php语句。但是PHP可以非