server来读取这个文件1phar://./dedecms.phar/test.txt监听5555可以收到ssrf进一步可以攻击redis等拓展攻击面,就不多说了。httpd.conf。http://php.net/manual/zh/mysqli.options.php比较有趣的是,通过这种方式修复,虽然禁用了allow_local_infile,但是如果使用wireshark抓包却发现allow_local_infile仍是启动的(但是无效)。mysqli_real_connect在执行的时候,会初始化allow_local_infile。在php代码底层mysqli_real_connect实际是执行了mysqli_common_connect。而在mysqli_common_connect的代码中,设置了一次allow_local_infile。