漏洞挖掘实战系列（第6期）：文件包含与目录遍历｜稳过审核的小众漏洞

原创

网安学习笔记
网安学习笔记

网络安全学习室

2026年7月24日 19:45
湖南

在小说阅读器读本章

去阅读

目录遍历、文件包含不属于热门漏洞，但胜在防护薄弱、极易被开发忽视，提交 SRC 审核通过率极高，是新手稳定捡漏的选择。

一、线上漏洞现状

主流框架会主动防御 SQL 注入、上传漏洞。 但路径处理相关代码经常被忽略，大量站点存在路径可控风险。 多数情况下无法直接获取服务器权限，却能够读取配置、源码、密钥等敏感信息，稳定评定中危漏洞。

二、漏洞底层本质

核心逻辑：程序信任外部传入的路径参数，没有做严格的路径过滤与限制。 目录遍历：利用../跳出指定目录，读取服务器任意本地文件。 文件包含：传入可控文件路径，服务端加载文件内容执行或者展示。

三、高频漏洞参数

目录遍历高危参数path、file、filepath、filename、doc、route

文件包含高危参数include、require、page、template、layout

四、实战基础测试思路

1. 传入../序列，观察页面是否读取到其他文件，报错信息是关键判断依据。
2. 尝试读取通用敏感文件：配置文件、账号密码文件、网站源码。
3. 文件包含区分本地包含与远程包含，目前远程包含线上环境基本绝迹，重点测试本地文件包含。

五、常见过滤绕过方式

1. 多层../嵌套，抵消简单替换过滤
2. URL 多重编码绕过正则检测
3. 特殊分隔符、斜杠变种，规避关键字拦截

六、新手常见误区

1. 只测试单层../，遇到过滤直接放弃
2. 找到遍历漏洞，不会寻找高价值敏感文件，报告危害写得太低，导致评级下降
3. 混淆文件包含与目录遍历，漏洞描述书写错误，审核直接驳回

七、文末学习福利

如果你也是零基础、想挖漏洞但不知道从哪开始，可以点击文末阅读原文领取200节攻防教程，帮你少走弯路。后续我会持续更新网安实战、就业、副业相关干货，关注我，带你从零基础一步步靠网安变现。

本期总结

1. 文件遍历与文件包含属于优质小众漏洞，竞争小、容易出成果；
2. 重点测试路径类参数，依靠../序列突破目录限制；
3. 找到漏洞优先寻找敏感配置文件，提升报告评级；
4. 线上环境远程包含基本消失，重心放在本地文件读取类测试。

下期预告第 7 期：未授权访问｜全网最高频的零门槛捡洞漏洞 不需要复杂 Payload，简单访问接口就能出洞，新人上手首选。

漏洞挖掘实战 #SRC 挖洞 #目录遍历 #文件包含 #Web安全 #白帽实战