| 配置根因 | allow_url_include 等远程包含开关 |
|---|---|
| 验证 | 优先做配置核查；动态验证仅指向自建地址 |
| 风险 | 远程执行属于高危路径，验证须最小化 |
核查要点
核查要点
1. 核查 PHP 配置与运行参数（远程包含开关、包装协议启用情况）
2. 如确需动态验证：指向自建 HTTP 服务上的无害文本，观察是否被拉取
3. 记录配置项与请求日志，不放置任何可执行内容严禁指向真实外部恶意资源；验证目标只是确认“是否加载远程内容”。
远程文件包含（RFI）检查
当包含函数接受远程地址（allow_url_include 等配置开启）时可加载外部资源；默认配置通常关闭，验证以配置核查优先。
易错点
- 未核查配置直接动态测试，风险不可控
- 把外部服务探测当作 RFI 证据
数据来源与参考
- PHP 手册（allow_url_include 配置说明）
- CWE-98