====== Contre-mesures ======


Les injections locales ou distantes ont lieu lorsqu’une application inclut dans une page un flux ou un fichier qui est défini via une entrée utilisateur. Ce flux doit être vérifié avant d’être exécuté.

Pour se prémunir des attaques par injection de fichiers, il n’y a pas d’autre manière que de filtrer et valider les entrées utilisateurs. Il ne faut jamais inclure ou exécuter directement une entrée utilisateur.

Pour le cas des injections distantes, il est possible de désactiver les directives “allow_url_open” et “allow_url_include” à “Off” si leur utilisation n’est pas nécessaire.
Un mécanisme de liste blanche ou de liste noire de caractères interdits ou autorisés peut être mis en place.

Cette vulnérabilité est de moins en moins présente dans les applications récentes qui sont basées majoritairement sur des framework robustes.