Предположим, страница вызывается следующим образом:
127.0.0.1/test/sto.php?page=index
Для того, чтобы проверить подверженность страницы PHP-инклюду, достаточно вместо параметра index вставить любой другой несуществующий параметр.
И если увидим какую-нибудь ошибку, связанную с подключением файла, то можете себя поздравить: сайт подвержен PHP-инклюду.
Это говорит о том, что в уязвимом скрипте имеется такая строка:
include(“templates/”.$_GET['page'].”.php”);
Хакеру достаточно немного изменить адресную строку, и получить доступ к любому файлу на сервере.