Всем привет.

Не могу раскрутить уязвимость типа File Inclusion вида:

require($_GET['file_path'] . 'main.php');

На вид все просто, но null byte не катит в современных версиях PHP, так же как и фишка с кучей слэшей (path normalization issue).

Как можно убрать вторую часть ('main.php') из передаваемого пути?

P.S. allow_url_include = Off.