PHP Misconfiguration: allow_url_fopen Enabled

对远程文件进行操作可能会让攻击者将恶意内容注入到程序中。

如果启用 allow_url_fopen 选项，就可以通过 HTTP 或 FTP URL 在远程文件上执行接受文件名的 PHP 函数。该选项是在 PHP 4.0.4 中引入的，并且默认情况下是启用的，由于它可能会导致攻击者将恶意内容引入程序中，因此具有危险性。最理想的情况是，攻击者篡改了远程文件来引入到恶意内容，因此对远程文件进行操作导致应用程序容易受到攻击。最糟糕的情况是，攻击者控制了运行应用程序的 URL，这样一来，攻击者就可以将一个 URL 提供给远程服务器，从而可以将任意恶意内容注入到应用程序中。

例 1：以下代码可打开一个文件并读取其内容，文件名由一个请求参数控制。由于 $file 的值由一个请求参数控制，因此攻击者有可能违背程序员的假设，将一个 URL 提供给远程文件。

<?php
$file = fopen ($_GET["file"], "r");
if (!$file) {
    // handle errors
}
while (!feof ($file)) {
    $line = fgets ($file, 1024);
    // operate on file content
}
fclose($file);
?>