路徑穿越其實(shí)就是目錄遍歷，它可以讓攻擊者查看運(yùn)行了存在此漏洞的應(yīng)用的服務(wù)器上的任意文件，包括：

程序代碼、數(shù)據(jù)；

后臺(tái)系統(tǒng)憑證；

敏感的操作系統(tǒng)文件。

在某些情況下還可能允許攻擊者上傳文件到任意目錄下（比如文件上傳漏洞同時(shí)存在路徑穿越），從而使得攻擊者可以修改服務(wù)器的配置文件，甚至最終完全控制服務(wù)器。

1、文件、模版下載；

2、URL參數(shù)，如 file、f、path、download、filename、load 等，相關(guān)的字典網(wǎng)上多的是我就不列舉了；

3、圖片鏈接。

測(cè)試方法

這沒什么好說的 ../ 就完事了，再不濟(jì) ..%2F。

其實(shí)要預(yù)防路徑穿越漏洞的方法就是不要把用戶提供的參數(shù)完全輸入給文件系統(tǒng)的API，而是寫死在代碼里，限制用戶只能下載指定的文件。

那如果必須要用戶輸入呢，可以添加下面的驗(yàn)證流程：

如果可能得話，驗(yàn)證用戶輸入是否在白名單列表中；如果不行，就驗(yàn)證用戶輸入是否只包含文字或數(shù)字；如果再不行，就校驗(yàn)用戶輸入是否包含 ../ ..%2F 之類的 payload

設(shè)置指定的文件路徑，在拼接用戶輸入后獲取真實(shí)的文件路徑，查看其是否與預(yù)設(shè)相同，示例代碼如下：

一個(gè)簡(jiǎn)單的路徑穿越

任務(wù)簡(jiǎn)報(bào)

這個(gè)實(shí)驗(yàn)室包含路徑穿越漏洞，你要讀取到 /etc/passwd 文件。

任務(wù)過程

在網(wǎng)站上有一些商品的圖片，這些圖片的src=/image?filename=48.jpg，那我們是不是可以修改它的值來查看對(duì)應(yīng)的文件呢？

現(xiàn)在我們把 filename 的值改成 "/../../../../../etc/passwd" 看看：

修改之后它的圖片就沒有啦，我們看看 burp 的流量是什么：

OK  成功拿下。

絕對(duì)路徑繞過

有些應(yīng)用會(huì)檢測(cè)用戶輸入中是否含有 ../ 這種跨越目錄的命令，但是如果它們使用的是一些函數(shù)進(jìn)行目錄拼接時(shí)如果你輸入的是一個(gè)絕對(duì)路徑，那么它們就會(huì)自動(dòng)忽略你前面預(yù)設(shè)的目錄，這里我使用 python 作為演示，輸入正常的文件名：

此時(shí)一切安好，那我們輸入帶有 payload 的路徑呢：

此時(shí)雖然最終執(zhí)行的 /etc/passwd 但是我們的規(guī)則校驗(yàn)已經(jīng)識(shí)別出它有問題了，在實(shí)際中并不會(huì)被執(zhí)行，那么我們輸入絕對(duì)路徑試試 /etc/passwd，按照我們的理解，這里最后應(yīng)該執(zhí)行的是 /home/test/etc/passwd 這個(gè)路徑，那么結(jié)果是不是這樣呢，下面揭曉：

哈  傻了吧，最后的結(jié)果是 /etc/passwd 而且我們的校驗(yàn)規(guī)則認(rèn)為這個(gè)用戶輸入是沒有問題的，這也就使得對(duì)方的攻擊成功了，他成功繞過了我們的校驗(yàn)。

這主要是因?yàn)椋琽s.path.join() 函數(shù)會(huì)根據(jù)傳入的參數(shù)自動(dòng)拼接路徑，并處理其中的目錄分隔符。然而，如果傳入的參數(shù)中包含了絕對(duì)路徑（以根目錄開始的路徑），則之前的路徑部分將被忽略。

那么我們接下來就在靶場(chǎng)中看一下吧。

任務(wù)簡(jiǎn)報(bào)

這個(gè)網(wǎng)站設(shè)置了一個(gè)默認(rèn)的工作目錄，應(yīng)用程序阻止遍歷序列，但將提供的文件名視為相對(duì)于默認(rèn)工作目錄，你要做的是讀取到 /etc/passwd 文件。

任務(wù)過程

我們還是使用 ../ 試一下運(yùn)行的結(jié)果。

可以看到是不行的，現(xiàn)在我們換成絕對(duì)路徑看看 /etc/passwd。

看 和我們的演示代碼是一樣的結(jié)果，絕對(duì)路徑繞過了它的 ../ 檢測(cè)。

雙寫繞過

有的開發(fā)會(huì)在識(shí)別到 ../ 之后將其直接置換為空，以此對(duì)抗路徑穿越，但是我們都知道，這種策略我們可以通過雙寫來繞過，下面我們來看看。

任務(wù)簡(jiǎn)報(bào)

這個(gè)網(wǎng)站會(huì)把用戶提交的 ../ 剝離，你要做的是讀取到 /etc/passwd 文件。

任務(wù)過程

我們還是提交一個(gè) ../ 看看情況。

這里我們可以看到在使用 ../3.jpg 的情況下還是正常顯示了圖片，這說明程序就是把 ../ 給去掉了，畢竟上一層目錄是不會(huì)有 3.jpg 這個(gè)文件的，那我們就開始工作吧 ....//....//....//....//....//etc/passwd。

成功繞過，收工。

URL 編碼繞過

對(duì)于上面的情況，我們也可以使用 URL 編碼進(jìn)行繞過，有時(shí)候也可以嘗試 雙層 URL 編碼繞過。

任務(wù)簡(jiǎn)報(bào)

這個(gè)實(shí)驗(yàn)室包含路徑穿越漏洞，你要讀取到 /etc/passwd 文件。

任務(wù)過程

還是輸入 ../ 看看情況。

這里可以看到，還是和上一節(jié)一樣的情況，這次我們改一下，用 ..%2F 試試。

OK  成功繞過，下班下班。

截?cái)嗬@過

有些網(wǎng)站可能會(huì)通過驗(yàn)證文件后綴來判斷要訪問的是不是系統(tǒng)文件，畢竟大多數(shù)Linux系統(tǒng)的文件都是沒有后綴的，對(duì)于這種情況，我們可以通過之前文件上傳漏洞時(shí)使用的 00 截?cái)鄟砝@過。

任務(wù)簡(jiǎn)報(bào)

這個(gè)實(shí)驗(yàn)室包含路徑穿越漏洞，你要讀取到 /etc/passwd 文件。

任務(wù)過程

這次我們直接用 ../images/38.jpg 試試水。

這里可以看到是不行的，那我們?cè)囋?00 截?cái)?/p>

OK  現(xiàn)在就可以了，具體原理可以參考上一篇文件上傳的文章，這里就不過多贅述了。

好了，本篇文章主要就是介紹了一些路徑穿越的常見位置、測(cè)試方法、常見的繞過手段、修復(fù)建議，相同的方法都可以用在文件下載上面，這兩個(gè)的原理都是一樣的，就不單獨(dú)介紹啦。