1.不安全的文件下载概述

文件下载功能在很多web系统上都会出现，一般我们当点击下载链接，便会向后台发送一个下载请求，一般这个请求会包含一个需要下载的文件名称，后台在收到请求后会开始执行下载代码，将该文件名对应的文件response给浏览器，从而完成下载。如果后台在收到请求的文件名后,将其直接拼进下载文件的路径中而不对其进行安全判断的话，则可能会引发不安全的文件下载漏洞。
此时如果攻击者提交的不是一个程序预期的的文件名，而是一个精心构造的路径(比如../../../etc/passwd),则很有可能会直接将该指定的文件下载下来。从而导致后台敏感信息(密码文件、源代码等)被下载。

所以，在设计文件下载功能时，如果下载的目标文件是由前端传进来的，则一定要对传进来的文件进行安全考虑。切记：所有与前端交互的数据都是不安全的，不能掉以轻心！

2.开始过关

进入本关看到下图的页面，点击球员名字可以下载头像图片

点击之后直接下载了，没有页面跳转，地址栏的url没有变化

查看源代码

<a href="execdownload.php?filename=kb.png" >科比. 布莱恩特</a> 对应的就是文件下载的点

把execdownload.php?filename=和当前网页路径组装起来，后面接上我们想要的文件路径：

比如:

http://ip/pk/vul/unsafedownload/execdownload.php?filename=../../../../../../windows/win.ini

一个../就是跳出一级目录到上一级目录下，具体有多少../可以通过已有的信息算，可以多写几个

ip为搭建靶场的ip

访问该地址，win.ini将被下载

由于我这里有防御（下面解释），就没下载成功，详见源代码

此外注意，这关如果用绝对路径，比如

http://ip/pk/vul/unsafedownload/execdownload.php?filename=C:/Windows/win.ini是不能成功的，具体原因见下面

3.防御

首先来看看代码，为什么只能用相对路径不能用绝对路径，以及为什么会出现不安全的文件下载漏洞

首先，从第10行可以看出来，传入的参数前面是拼接了download目录的，这就是为啥本关用绝对路径不好使的原因。

那之所以有不安全的文件下载漏洞的原因是，服务器代码没有对输入的filename进行过滤，只是检查了以下文件是否存在，如果存在就下载了。

这关的一种防御方法是进行白名单过滤，只允许下载的文件是download文件夹下的那些图片：

尝试下载win.ini，下载失败，成功防御

皮卡丘Unsafe Filedownload相关推荐

皮卡丘Unsafe Fileupload
1.不安全的文件上传漏洞概述文件上传功能在web应用系统很常见,比如很多网站注册的时候需要上传头像.上传附件等等.当用户点击上传按钮后,后台会对上传的文件进行判断比如是否是指定的类型.后缀名.大小 ...
pikachu File Inclusion 文件包含漏洞（皮卡丘漏洞平台通关系列）
目录一.来自官方的简介二.来自小可爱的通关步骤第一关 File Inclusion(local) 1.读取"隐藏"文件 2.读取系统文件 3.结合文件上传getshell ...
python 打印皮卡丘_Python到底是什么？学姐靠它拿了5个offer
你ZAO吗? 最近陌陌发布了一款很有意思的产品--ZAO,这款AI换脸的产品刷爆朋友圈! 这款产品火爆到什么程度呢? 正在使用ZAO的用户会发现,想要生成一段新的AI换脸视频,已经不是等待几秒.排队第 ...
不只会卖萌：皮卡丘们真的能改造你的大脑
最近上映的<大侦探皮卡丘>,让一堆中二青年秒回小时候,回忆起当年疯狂收集神奇宝贝卡片的经历,拿着精灵球召唤小精灵的自己,还有背着家长偷看<神奇宝贝>动画片的紧张刺激~ 这款发售 ...
双摄就能拍银河拍月亮，还有皮卡丘教你手势识别，这是Pixel 4和谷歌的一箩筐新硬件...
郭一璞发自凹非寺量子位报道 | 公众号 QbitAI 昨晚的谷歌秋季发布会,又更新了大量硬件. Pixel 4系列手机,终于从单摄升至双摄,但拍银河.拍月亮都不成问题,成像效果也比苹果更自然, ...
用 TensorFlow 目标检测 API 发现皮卡丘！
在 TensorFlow 众多功能和工具中,有一个名为 TensorFlow 目标检测 API 的组件.这个库的功能正如它的名字,是用来训练神经网络检测视频帧中目标的能力,比如,一副图像. 需要查看我 ...
用python画皮卡丘源代码-实现童年宝可梦，教你用Python画一只属于自己的皮卡丘...
原标题:实现童年宝可梦,教你用Python画一只属于自己的皮卡丘大数据文摘出品作者:李雷.蒋宝尚还记得小时候疯狂收集和交换神奇宝贝卡片的经历吗? 还记得和小伙伴拿着精灵球,一起召唤小精灵的中二模 ...
python简单代码画皮卡丘-实现童年宝可梦，教你用Python画一只属于自己的皮卡丘...
原标题:实现童年宝可梦,教你用Python画一只属于自己的皮卡丘大数据文摘出品作者:李雷.蒋宝尚还记得小时候疯狂收集和交换神奇宝贝卡片的经历吗? 还记得和小伙伴拿着精灵球,一起召唤小精灵的中二模 ...
用python画皮卡丘画法-实现童年宝可梦，教你用Python画一只属于自己的皮卡丘
皮卡丘脸颊两边有着小小的电力袋,因此他独有的能力就是可以放电.在动画片中,小智的皮卡丘性格十分害羞,稍有不满就乱放电电人. 小时候也想拥有一只会放电的皮卡丘,长大后渐渐明白,这种高度智能会放电的&qu ...

皮卡丘Unsafe Filedownload

1.不安全的文件下载概述

2.开始过关

3.防御

皮卡丘Unsafe Filedownload相关推荐

最新文章

热门文章