一、了解文件包含攻击
文件包含攻击是一种常见的web攻击，并被列为owasp（开放式web应用安全项目）十大web安全漏洞之一。它可以分为本地文件包含（lfi）和远程文件包含（rfi）。
当使用不经过过滤的外部数据来生成文件路径时，很容易受到lfi的攻击。例如，以下代码将用户提交的文件名与路径名连接起来：
<?php$file = '/home/user/'. $_get['file'];include($file);?>
当用户使用../等相对路径提供数据时，就会出现lfi攻击。
rfi攻击则是指攻击者可以在服务器中执行自己的远程代码。例如，以下代码将用户提交的url直接通过file_get_contents()函数包含：
<?php$url = $_get['url'];$content = file_get_contents($url);echo $content;?>
当攻击者提供自己的恶意url时，就会出现rfi攻击。
二、防止lfi攻击
为了防止lfi攻击，我们必须对用户提供的文件名和路径进行过滤。使用绝对路径是一种防止lfi攻击的好方法。
以下是可能的过滤示例，采用白名单方法包括允许包含的文件名和路径：
<?php$allowed_files = array("file1.php", "file2.php");$allowed_paths = array("/path1/", "/path2/");$file = $_get['file'];$path = $_get['path'];if (!in_array($file, $allowed_files) || !in_array($path, $allowed_paths)) { die("access denied");}include("/home/user/" . $path . $file);?>
使用白名单方法可以减少lfi攻击的风险。 如果您不想使用白名单方法，也可以使用限定文件类型的方式：
<?php$file = $_get['file'];// 判断$file是否是php文件if (!preg_match("/.php$/", $file)) { die("access denied");}include("/home/user/" . $file);?>
限制文件类型可以防止其他文件类型被包含。
三、防止rfi攻击
为了防止rfi攻击，我们必须对用户提供的url进行过滤。 使用白名单时，只应允许访问您指定的远程服务器。例如，您可以在php.ini文件中设置allow_url_fopen选项，或使用curl函数。
以下是防止rfi攻击的示例：
<?php$url = $_get['url'];// 验证是否是信任的主机if (!preg_match("/^http://(192.168.0.16|www.example.com)/", $url)) { die("access denied");}$content = file_get_contents($url);echo $content;?>
在此示例中，我们将验证过程限制为指定的主机。
四、使用php的其它安全措施
禁用危险函数有些函数可以访问系统的文件，如eval()、exec()等，因此它们很容易被污染或误用。为了提高安全性，应禁用这些函数。
php版本在较旧的php版本中，文件包含漏洞存在着较多的风险。因此，及时更新php版本是减少漏洞并提高安全性的一种方法。
权限控制要确保文件仅对旨在执行它们的脚本或用户可用，应使用适当的权限控制（例如文件的所有权和访问权限）。
因此，在使用php编写web应用程序时，安全性必须放在第一位。采取适当的安全措施，例如使用白名单方法、限制文件类型、禁用危险函数、更新php版本以及使用权限控制，可以有效地降低文件包含攻击的风险。
以上就是如何使用php防止文件包含攻击的详细内容。