原理：
文件查看或文件下载功能，不做限制，恶意用户就能够查看或下载任意敏感文件，这就是文件查看与下载漏洞。
一般链接形式:
download.php?path=
down.php?file=
data.php?file=
download.php?filename=
或者包含参数:
&Src=
&Inputfile=
&Filepath=
&Path=
&Data=
下载漏洞
可以用../返回上级目录，../../是上两层目录
利用的原理就是找到可以利用的文件，日志，配置文件，历史记录等
防御
1、过滤“.” 这样../就不能返回上级了。
2、正则表达严格判断用户输入参数的格式
3、php.ini配置open_basedir限定文件访问范围
默认是不限制的，需要手工设置限定路径
