用途：在获得书面授权的渗透测试中，检测应用处理文件路径参数时的目录遍历（Path Traversal）及本地/远程文件包含（LFI/RFI）漏洞，适用于文件下载、查看、包含、模板、日志、报表生成及接受文件名或路径的 API。
主要能力：识别 file、path、page、template、include、src 等文件相关参数；测试 Linux 与 Windows 的 ../ 与 ..\ 遍历载荷；应用 URL 编码、双重编码、UTF-8 编码、空字节注入、路径截断、大小写变换、....// 等过滤绕过；使用 ffuf、dotdotpwn、Burp Intruder 自动化测试；确认 LFI 后尝试通过日志投毒、PHP 包装器（php://filter、php://input、data://）、/proc/self/environ、会话文件等升级为代码执行；读取 /etc/passwd、.env、wp-config.php、SSH 私钥、win.ini、web.config 等高价值文件。
使用方式：需先取得授权，准备 Burp Suite Professional、ffuf、dotdotpwn、SecLists、curl。先定位文件参数并建立基线，再手工测试基础载荷，随后用编码与绕过技巧，最后用自动化工具批量验证。示例命令：ffuf -u "https://target.example.com/download?file=FUZZ" -w /usr/share/seclists/Fuzzing/LFI/LFI-Jhaddix.txt -mc 200 -fs 0；dotdotpwn -m http-url -u "https://target.example.com/download?file=TRAVERSAL" -k "root:"。
适用场景：文件下载/查看端点、模板包含、图片路径处理、.NET/IIS 配置泄露、API 文件参数等。
限制：仅限授权测试；部分技术依赖旧版本 PHP（如空字节注入需 PHP < 5.3.4）或特定配置（RFI 需 allow_url_include=On）；实际可利用性取决于目标过滤与权限，需逐项验证。修复建议包括使用文件名允许列表、规范化路径并校验目录边界、最小化文件系统权限、移除 Web 目录中的敏感文件、按需禁用 PHP 包装器。