常见漏洞验证121 条

本地文件包含（LFI）检查

参数被拼进 include/require 类调用时可包含本地文件；PHP 等历史系统常见。验证关注参数语义与回显特征。

验证步骤

1. 找疑似“文件名参数”（如 page=、lang=）
2. 替换为一个已知存在的无害文件路径，对比页面输出变化
3. 观察报错信息中的包含路径
4. 记录具体参数与现象（不保存目标文件内容）

修复视角：禁止用户输入直接控制包含路径，改用白名单映射的模板 ID。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌