今天学习文件包含漏洞的时候,在php.ini配置文件就会接触到allow_url_include和allow_url_fopen这两个设置,非常有必要了解一下。
allow_url_fopen = On
是否允许将URL(如http://或ftp://)作为文件处理。
allow_url_include = Off
是否允许include/require打开URL(如http://或ftp://)作为文件处理。
注意:
从PHP5.2开始allow_url_include就默认为Off了,而allow_url_fopen一直是On的。
一般情况下,我相信也没有什么人无聊的去打开allow_url_include。
当allow_url_include为On,就很容易出现文件远程包含漏洞。