在开发Web应用时，注入式攻击是一个常见的安全问题。这类攻击可以利用看似无害的代码片段，导致严重的安全漏洞。本文以PHP为例，探讨了几种注入式攻击的类型及其预防方法。
本地文件注入攻击允许攻击者指定服务器上的任何文件，并由PHP解释器执行其内容或返回输出。例如，如果攻击者知道服务器上存在一个XML数据库文件，他们可以通过访问特定的URL来获取数据库内容。
如果Web应用允许用户上传文件，攻击者可以上传恶意代码文件，并通过访问特定的URL来执行这些代码。
<?php
$page = $_GET['page'];
include($page);
?>
上述代码片段明显存在安全漏洞。为了防范本地文件注入，可以采取以下措施：
<?php
$page = $_GET['page'];
if (!is_in_whitelist($page))
die('非法访问！');
include($page);
?>
在这段代码中，创建了一个允许文件列表，并在包含文件之前验证用户输入的URL参数是否在白名单中。
远程文件注入攻击允许攻击者通过指定远程服务器上的文件URL来执行恶意代码。例如，攻击者可以上传恶意代码到他们控制的服务器上，然后通过访问特定的URL来执行这些代码。
<?php
$page = $_GET['page'];
include($page);
?>
默认情况下，服务器配置可能会禁止远程文件执行，但这不是绝对的。因此，建议在应用逻辑中也进行防护。
路径遍历攻击允许攻击者通过相对或绝对路径访问Web服务器目录之外的文件。例如，攻击者可以通过访问特定的URL来获取PHP配置文件或服务器上的用户账户信息。
<?php
$page = $_GET['page'];
include($page);
?>
为了防范路径遍历攻击，可以采取以下措施：
<?php
$page_id = $_GET['page_id'];
$page = get_page_by_id($page_id);
if (!$page)
die('非法访问！');
include($page);
?>
在这段代码中，不再直接接受文件名作为URL参数，而是接受页面ID，并根据页面ID在查找表或数据库中查找文件名。
注入式攻击是Web应用中常见的安全问题。通过不信任用户输入，并采取相应的防护措施，可以有效地防范这些攻击。