从0到1完全掌握目录遍历漏洞 - FreeBuf网络安全行业门户

介绍

目录遍历是一种允许攻击者读取运行应用程序的服务器上的任意文件的漏洞，攻击者可以利用这一步方法去读取网站的数据库配置文件或者应用程序的配置文件、源码，来为进一步的攻击做铺垫

攻击方法

目录遍历攻击是基于操作系统的一种攻击方式

../ 命令将会贯穿整个目录遍历攻击路径，也是核心所在

在上传文件时，我们要上传的目录可能是 /PathTraversal/user/tests 下，但是我们可以通过目录遍历的方式，将要上传的图片上传至其他目录

目录遍历 - 图1

最后我们可以发现我们上传到 /PathTraversal/user 下

在网站请求图片时，在请求图片的同时尝试目录遍历

正常的请求时这样的：这会去 127.0.0.1/home/image 下寻找 1.jpeg 文件

127.0.0.1/home/image?filename=1.jpg

但是我们可以修改这里的文件名称进而形成目录遍历：这时我们就会找到 127.0.0.1/home 下的 passwords.txt 文件

127.0.0.1/home/image?filename=../password.txt

Zip 文件在解压之后，在攻击者的精心设计之下，很有概率会覆盖服务器上原有的文件。举个例子，php 当中的 .htacess 文件就是最著名的文件上传的覆盖，若是覆盖了 .htacess 文件，那么就可以进一步的利用

如果应用程序要求用户提供的文件名必须以预期的文件扩展名结尾，例如.png，则可以使用空字节有效地终止所需扩展名之前的文件路径。例如

filename=../../../etc/passwd%00.png

在访问时使用文件系统根目录的绝对路径

目录遍历 - 图2

我们可以在后端对请求进行过滤：

return super.execute(file, fullName != null ? fullName.replace("../", "") : "");

这会将输入的 ../ 过滤替换为空格，但是我们可以使用双写绕过 ....//

这里在实际生活中通常会对这里进行循环替换

后端代码对参数值进行设置，禁止存在 .. 与 /

绕过思路：

?filename=%2e%2e%2f/etc/passwd
# %2e%2e ------> ..
# %2f ------> /

情景：若此时资源为图像，那么服务器只允许的请求是?filename=图片格式的后缀。只有?filename=1.jpg才可以被请求。

绕过思路：空字节绕过

空字节绕过，也就是增添空格，因为空格后的内容都会被自动过滤。而空格对应的 hex 编码为 %00，所以我们构造新的 payload。

?filename=../etc/passwd%001.jpg
# 转换一下，也就是
?filename=../etc/passwd 1.jpg
# 在空字节存在的情况下，空格后面的内容会直接被注释掉，就变成了这样。
?filename=../etc/passwd

限制用户请求资源，写正则表达式批量规范请求资源的白名单