Metinfo是一款国产的CMS系统，由于其易用性和免费开源等特点，被广泛应用于各种网站建设中。然而，近日却发现了一种Metinfo文件包含漏洞，可能导致网站被黑客攻击。
漏洞原理
文件包含漏洞是一种常见的Web漏洞类型，攻击者通过构造恶意请求，将自己的代码注入到目标网站的服务器上。Metinfo文件包含漏洞的原理就是在文件包含函数include中，没有对用户输入的参数进行过滤和检查，导致攻击者可以通过构造特定的请求，获取服务器上的敏感文件。
攻击方法
攻击者可以通过访问以下URL，从而获取服务器上的敏感文件：
- http://www.example.com/metinfo/include/common.inc.php?met_lang=../../../../../../../../etc/passwd
- http://www.example.com/metinfo/include/common.inc.php?met_lang=../../../../../../../../etc/shadow
其中，met_lang参数是包含漏洞的函数中的参数，通过向其传递../的方式，可以访问到服务器上的其他目录。上述两个URL分别可以获取到服务器上的/etc/passwd和/etc/shadow文件，这两个文件包含了系统的用户账号和密码信息，攻击者可以通过破解密码，获取服务器的管理权限。
防范措施
为了防止Metinfo文件包含漏洞的攻击，可以采取以下措施：
- 对用户输入的参数进行过滤和检查，避免恶意请求的注入。
- 限制服务器上敏感文件的访问权限，避免被攻击者获取。
- 及时更新Metinfo系统的补丁，避免漏洞被攻击者利用。
总之，对于Metinfo文件包含漏洞这类Web漏洞，我们需要认真对待，及时采取措施，保障网站的安全性。