WEB漏洞-文件下载及读取漏洞

原理

文件下载功能在很多web系统上都会出现，一般我们当点击下载链接，便会向后台发送一个下载请求，一般这个请求会包含一个需要下载的文件名称，后台在收到请求后会开始执行下载代码，将该文件名对应的文件response给浏览器，从而完成下载。如果后台在收到请求的文件名后,将其直接拼进下载文件的路径中而不对其进行安全判断的话，则可能会引发不安全的文件下载漏洞。此时如果攻击者提交的不是一个程序预期的的文件名，而是一个精心构造的路径(比如../../../etc/passwd),则很有可能会直接将该指定的文件下载下来。从而导致后台敏感信息(密码文件、源代码等)被下载。

所以，在设计文件下载功能时，如果下载的目标文件是由前端传进来的，则一定要对传进来的文件进行安全考虑。

切记：所有与前端交互的数据都是不安全的，不能掉以轻心！

案例

pikachu靶场

这是科比的下载链接

http://127.0.0.1/pikachu/vul/unsafedownload/execdownload.php?filename=kb.png

下载的文件名就是kb.png

这是图像的地址在downlad文件夹下所以filename获取的是download的文件

http://127.0.0.1/pikachu/vul/unsafedownload/download/kb.png

所以我们想要下载execdownload.php这个文件他是在unsafedownload文件夹下因此参数应该为

filename=../execdownload.php

检测

白盒测试：代码审计

黑盒测试：漏扫工具，公开漏洞，手工看参数值及功能点

文件名，参数值，目录符号
read.xxx?filename=
down.xxx?filename=
readfile.xxx?file=
downfile.xxx?file=
…/ …\ .\ ./等

%00 ? %23 %20 .等

&readpath=、&filepath=、&path=、&inputfile=、&url=、&data=、&readfile=、

&menu=、META-INF= 、WEB-INF

1.文件被解析，则是文件包含漏洞

2.显示源代码，则是文件读取漏洞

3.提示文件下载，则是文件下载漏洞

利用

注意：直接访问文件是代码编译后的页面，而下载的代码是没有进行编译的源码

可以通过后台扫描工具扫描网站后台敏感文件进行下载

如果参数为加密类型构造url是参数也应该加密

下载或文件读取漏洞：

对应文件：配置文件（数据库，平台，等）

下载配置文件进行进一步操作

Windows：

C:\boot.ini //查看系统版本

C:\Windows\System32\inetsrv\MetaBase.xml //IIS配置文件

C:\Windows\repair\sam //存储系统初次安装的密码

C:\Program Files\mysql\my.ini //Mysql配置

C:\Program Files\mysql\data\mysql\user.MYD //Mysql root

C:\Windows\php.ini //php配置信息

C:\Windows\my.ini //Mysql配置信息

C:\Windows\win.ini //Windows系统的一个基本系统配置文件

Linux：

/root/.ssh/authorized_keys

/root/.ssh/id_rsa

/root/.ssh/id_ras.keystore

/root/.ssh/known_hosts //记录每个访问计算机用户的公钥

/etc/passwd

/etc/shadow

/etc/my.cnf //mysql配置文件

/etc/httpd/conf/httpd.conf //apache配置文件

/root/.bash_history //用户历史命令记录文件

/root/.mysql_history //mysql历史命令记录文件

/proc/mounts //记录系统挂载设备

/porc/config.gz //内核配置文件

/var/lib/mlocate/mlocate.db //全文件路径

/porc/self/cmdline //当前进程的cmdline参数