PHP Misconfiguration: allow_url_fopen Enabled

對遠端檔案進行操作可能會讓攻擊者在程式中插入惡意的內容。

若啟用 allow_url_fopen 選項，便可使用 HTTP 或 FTP URL 在遠端檔案上執行接受檔案名稱的 PHP 函數。該選項是在 PHP 4.0.4 中增加的，在預設情況下是開啟的，因為它可能會讓攻擊者將惡意內容引入至應用程式中。最理想的情況是，攻擊者改變遠端檔案以引入惡意的內容，因此對遠端檔案進行操作使得應用程式易受攻擊。最差的情況是，攻擊者控制執行應用程式的 URL，則他們可以將 URL 提供至遠端伺服器，將任意的惡意內容插入至應用程式。

範例 1：以下的程式碼會開啟一個檔案並讀取其內容，該檔案名稱由要求參數控制。因為 $file 的值由要求參數控制，所以攻擊者可違反程式設計師的假設，提供 URL 給遠端檔案。

<?php
$file = fopen ($_GET["file"], "r");
if (!$file) {
    // handle errors
}
while (!feof ($file)) {
    $line = fgets ($file, 1024);
    // operate on file content
}
fclose($file);
?>