用途：识别并验证文件路径遍历（目录遍历）漏洞，即用户可控输入被传入文件系统 API 且缺乏校验时，攻击者可读取服务器任意文件，可能涉及配置、凭据与源码。
主要能力：识别常见文件参数（如 file、path、page、template、filename、download、load 等）及图片加载、模板选择、文件下载、文档查看、包含机制等易受影响功能；测试基础遍历、绝对路径注入、各类编码与绕过技巧（嵌套序列、混合/双重编码、空字节、路径截断、扩展名与基目录校验绕过、黑名单绕过）；针对 Linux 与 Windows 的高价值目标文件（如 /etc/passwd、/etc/shadow、/proc/self/environ、win.ini、SAM、web.config、wp-config.php 等）；使用 Burp Suite、ffuf、wfuzz 进行自动化测试；尝试 LFI 转 RCE（日志投毒、/proc/self/environ、PHP 包装器）；给出安全编码修复建议。
使用方式：需具备浏览器开发者工具、Burp Suite 或 OWASP ZAP、cURL、字典及 ffuf 或 wfuzz，并了解 HTTP 结构、Linux/Windows 文件系统布局与文件 API。按阶段推进：理解原理、定位遍历点、基础利用、绕过、查阅目标文件、自动化、升级、制定测试方法并落实防护。示例命令：ffuf -u "http://target.com/image?filename=FUZZ" -w /usr/share/wordlists/traversal.txt -mc 200；wfuzz -c -z file,/usr/share/seclists/Fuzzing/LFI/LFI-Jhaddix.txt --hc 404 "http://target.com/index.php?file=FUZZ"。
适用场景：授权范围内的 Web 安全测试与漏洞验证，交付漏洞报告、利用证明、影响评估与修复指导。
限制：无法读取应用用户无权访问的文件；/etc/shadow 需 root 权限，许多文件权限受限；扩展名校验、基路径校验、WAF 可能限制利用；测试须遵守授权范围，避免访问真正敏感数据并记录所有成功访问；若无法升级到 RCE，可检查日志、PHP 包装器、文件上传或会话投毒。