Пентест веба на пальцах: для новичков и слегка отбитых

Include в php подключает и выполняет содержимое другого файла прямо в текущем скрипте. Наверное, стоило чуть подробнее и яснее описать этот момент.

В фреймворках на php (laravel, syphony и т.д.), есть механизмы для защиты от LFI.

Легаси сайтов в ваилде очень много на самом деле. В корпоративном секторе, достаточно самописных стареньких CMS и админок, которые существуют без обновлений годами.

Про расширение в URL, примерно, такая же тема как и с LFI, скорее чтобы было понимание что перед тобой и как с этим работать.