实战必备！30 个任意文件下载漏洞挖掘技巧！

华盟君华盟君 渗透测试 5 月前
1.66W 0
华盟原创文章投稿奖励计划

任意文件下载漏洞始终是渗透测试和漏洞挖掘的重点目标。这类漏洞看似简单，却能导致服务器敏感文件泄露、源代码窃取甚至远程代码执行等严重后果。2025 年 3 月披露的 Vim 编辑器 CVE-2025-27423 漏洞再次提醒我们：文件处理流程中的输入验证缺陷可能造成致命风险。

一、基础验证类技巧

任意文件下载漏洞的本质是用户可控参数被用于文件读取操作，且未经过严格验证。基础验证阶段的核心是快速识别潜在风险点并进行初步验证。

1. 参数位置识别法

重点关注 URL 中与文件相关的参数名，常见的包括file、filename、path、document、download等。在测试目标站点时，使用 Burp Suite 的 Intruder 模块对所有可疑参数进行标记，优先测试包含文件路径特征的值。例如某站点 URL 为http://example.com/download?file=report.pdf，则file参数是首要测试目标。

2. 路径遍历字符测试

最经典的测试方法是在参数值后添加../序列尝试目录穿越。标准测试载荷包括：

  • • ../etc/passwd（Linux 系统）
  • • ../../windows/win.ini（Windows 系统）
  • • ../config.php（Web 应用配置文件）

需要注意不同系统的路径分隔符差异：Linux 使用/，Windows 使用\，部分 Web 服务器也接受\\作为分隔符。

3. 绝对路径直接访问测试

当相对路径遍历被过滤时，尝试直接输入绝对路径。例如 Linux 系统的/etc/passwd、/proc/self/environ，Windows 系统的C:\Windows\System32\drivers\etc\hosts。某些配置不当的服务器会直接响应绝对路径请求。

4. 文件后缀绕过测试

许多应用会校验文件后缀是否在白名单内，可尝试以下绕过方法：

  • • 添加空白字符：../etc/passwd%20（URL 编码空格）
  • • 使用点号截断：../etc/passwd.（在 Windows 系统有效）
  • • 多后缀欺骗：../etc/passwd.pdf（利用后端只检查最后一个后缀的缺陷）
  • • 特殊编码：../etc/passwd%00.pdf（NULL 字节截断，需 PHP magic_quotes_gpc 关闭）

5. 服务器配置文件探测

针对不同服务器类型构造特定测试载荷：

  • • Apache：../conf/httpd.conf、../conf.d/ssl.conf
  • • IIS：../System32/inetsrv/MetaBase.xml、../web.config
  • • Nginx：../conf/nginx.conf、../sites-available/default
  • • Tomcat：../conf/server.xml、../webapps/ROOT/WEB-INF/web.xml

6. 敏感文件字典爆破

准备包含常见敏感文件路径的字典，使用爆破工具进行批量测试。Linux 系统重点包括/etc/passwd、/etc/shadow、/root/.ssh/id_rsa；Windows 系统关注C:\boot.ini、C:\ProgramData\Microsoft\Windows\WER\ReportQueue等路径。字典应按 "系统文件 - Web 配置 - 应用数据" 分类组织。

7. 伪静态 URL 测试

对于使用伪静态技术的站点，如http://example.com/download/report.pdf形式的 URL，可尝试构造http://example.com/download/../etc/passwd进行测试。这类 URL 中的路径部分常被直接用于文件读取操作而缺乏验证。

8. HTTP 方法切换测试

多数文件下载功能使用 GET 方法，但部分应用会在 POST 请求中处理文件下载。使用 Burp Suite 将 GET 请求转换为 POST 请求，在请求体中添加文件参数进行测试。例如： 

POST /download HTTP/1.1
Host: example.com
Content-Type: application/x-www-form-urlencoded
file=../etc/passwd

9. 错误信息利用法

故意输入无效路径（如../../invalidfile.txt），观察服务器返回的错误信息。详细的错误提示可能泄露文件系统结构或绝对路径，例如 "无法找到文件 /usr/local/apache/htdocs/../../invalidfile.txt" 直接暴露了网站根目录位置。

10. 多参数组合测试

当应用使用多个参数拼接文件路径时，可能存在参数污染漏洞。例如某应用使用path和file两个参数拼接路径：$filename = $_GET['path'] . '/' . $_GET['file'];，可构造?path=../etc&file=passwd实现路径穿越。

二、环境适配类技巧

不同的 Web 开发语言、框架和服务器环境对文件操作的处理存在差异，需要针对性调整测试策略。

11. PHP 环境特定测试

PHP 环境中需重点测试伪协议利用：

  • • php://filter/read=convert.base64-encode/resource=../config.php（读取源码并 Base64 编码）
  • • php://input配合 POST 数据写入文件（需 allow_url_include 开启）
  • • data://text/plain,<?php phpinfo();?>（数据协议执行代码）

特别注意open_basedir配置是否生效，可通过读取/proc/self/cwd获取当前工作目录绕过限制。

12. Java 环境专项测试

Java Web 应用的核心目标是WEB-INF目录下的敏感文件：

  • • WEB-INF/web.xml（部署描述符）
  • • WEB-INF/classes/（编译后的类文件）
  • • WEB-INF/lib/（应用依赖的 JAR 包）
  • • META-INF/``MANIFEST.MF（Manifest 文件）

测试载荷示例：http://example.com/download?file=WEB-INF/web.xml。对于 Spring Boot 应用，尝试下载BOOT-INF/classes/application.properties配置文件。

13. ASP.NET环境测试

ASP.NET应用重点测试：

  • • web.config文件（包含数据库连接字符串等敏感信息）
  • • global.asax（应用全局配置）
  • • bin/目录下的 DLL 文件（可反编译获取源码）

注意 IIS 服务器的~符号解析特性，http://example.com/download?file=~/web.config可能绕过部分路径限制。

14. 中间件版本特定测试

针对不同中间件的已知漏洞进行测试：

  • • Weblogic：/_async/AsyncResponseService路径的文件下载漏洞
  • • Tomcat：/manager/status/all信息泄露结合文件下载
  • • Nginx：../路径穿越（受版本和配置影响）

参考 CVE Details 等数据库，根据目标中间件版本号调整测试策略。

15. 云环境适配测试

在云服务器环境中，额外测试：

  • • 云服务商元数据：http://169.254.169.254/latest/meta-data/（AWS EC2）
  • • 容器环境文件：/proc/self/cgroup（判断是否在容器中）、/var/run/secrets/``kubernetes.io/serviceaccount/（K8s 环境）
  • • 云存储配置：../.aws/credentials、../.azure/accessTokens.json

16. 移动应用 API 测试

移动 APP 后端 API 常存在文件下载漏洞：

  • • 抓包分析 APP 的文件下载请求，重点关注fileId、resourceId等参数
  • • 测试 API 是否验证用户权限，能否越权下载其他用户文件
  • • 检查 API 是否限制文件大小，尝试通过大文件下载消耗服务器资源

17. 静态站点生成器测试

Jekyll、Hexo 等静态站点生成器可能存在：

  • • 配置文件泄露：../_config.yml
  • • 草稿文件泄露：../_drafts/``post.md
  • • 插件配置泄露：../_data/plugins.yml

18. CMS 系统版本测试

主流 CMS 系统有特定的文件结构：

  • • WordPress：../wp-config.php、../wp-content/uploads/../wp-config.php
  • • Drupal：../sites/default/settings.php
  • • Joomla：../configuration.php

结合 CMS 版本号，测试对应版本的已知文件下载漏洞。

19. 开发环境残留测试

开发环境特有的文件常被带到生产环境：

  • • 版本控制文件：.git/config、.svn/entries、.hg/conf/hugefiles
  • • 备份文件：config.php.bak、index.php~、database.sql
  • • 日志文件：../logs/access.log、../debug.log

20. 备份与缓存文件测试

尝试访问常见的备份文件命名格式：

  • • 时间戳后缀：config_20250923.php
  • • 压缩包格式：backup.zip、data.tar.gz
  • • 编辑器备份：config.php.swp、index.php.bak

某些系统会自动生成全站备份，猜测备份文件名进行测试。

三、高级利用类技巧

高级利用阶段需要结合目标环境特征，进行多维度测试和漏洞组合，最大化漏洞利用价值。

21. 多参数污染测试

当应用使用多个参数构建文件路径时，尝试组合污染：

  • • 路径分段污染：?dir=../etc&file=passwd
  • • 参数覆盖：?file=safe.txt&file=../etc/passwd（利用 PHP 等语言的参数覆盖特性）
  • • 数组参数：?file[]=../etc/passwd（测试参数解析漏洞）

22. 编码绕过技术

当应用过滤../等字符时，尝试各种编码方式：

  • • URL 编码：%2e%2e%2f（../的 URL 编码）
  • • Unicode 编码：..%u2216（../的 Unicode 编码）
  • • 双重编码：%252e%252e%252f
  • • 服务器特定编码：IIS 的..\可用..%c0%af绕过

23. 协议 handlers 滥用

利用不同协议处理程序读取文件：

  • • file:///etc/passwd（直接文件协议）
  • • ftp://example.com/../etc/passwd（FTP 协议跳转）
  • • php://filter/convert.base64-encode/resource=file:///etc/passwd（PHP 过滤器组合）
  • • jar:file:///path/to/application.jar!/META-INF/``MANIFEST.MF（JAR 协议）

24. 进程信息泄露利用

在 Linux 系统中，通过/proc文件系统获取关键信息：

  • • /proc/sched_debug：获取进程信息和 PID
  • • /proc/[PID]/cmdline：获取进程启动命令
  • • /proc/[PID]/environ：获取环境变量
  • • /proc/[PID]/cwd：获取进程当前工作目录

结合这些信息可精准定位应用配置文件路径。

25. SpringBoot 应用专项利用

SpringBoot 应用的攻击链构建：

  1. 1. 通过/proc/sched_debug找到 Java 进程 PID
  2. 2. 读取/proc/[PID]/cmdline获取 JAR 包路径
  3. 3. 下载 JAR 包：?file=/path/to/app.jar
  4. 4. 解压 JAR 包获取BOOT-INF/classes/application.properties等敏感文件
  5. 5. 分析配置文件寻找进一步攻击面

26. 框架特定路径遍历

不同 Web 框架有特定的文件结构：

  • • Laravel：../.env、../storage/logs/laravel.log
  • • Django：../``settings.py、../db.sqlite3
  • • Flask：../``config.py、../instance/``config.py
  • • Struts2：../struts.xml、../WEB-INF/classes/struts.properties

27. 错误配置利用

服务器错误配置常导致文件下载漏洞：

  • • 目录索引开启：直接浏览/downloads/等目录
  • • 符号链接未限制：上传包含符号链接的压缩包，解压后访问敏感文件
  • • 软链接跟随：ln -s /etc/passwd link.txt然后下载 link.txt
  • • 跨域资源共享（CORS）配置不当：通过跨域请求下载文件

28. 多漏洞组合利用

将文件下载漏洞与其他漏洞组合：

  1. 1. 文件上传 + 文件下载：上传包含符号链接的压缩包，通过文件下载漏洞访问
  2. 2. 目录遍历 + 文件下载：先通过目录遍历获取文件列表，再精准下载
  3. 3. SQL 注入 + 文件下载：通过 SQL 注入获取文件路径，再构造下载请求
  4. 4. XSS + 文件下载：诱导管理员触发下载，窃取后台敏感文件

29. 自动化工具辅助

利用专业工具提高测试效率：

  • • Burp Suite：Intruder 模块批量测试参数，Decoder 工具处理编码
  • • DirBuster/Gobuster：目录和文件爆破
  • • FFuF：快速模糊测试，支持自定义 Payload
  • • sqlmap：检测是否存在 SQL 注入结合文件读取
  • • Wfuzz：多线程模糊测试工具

30. 供应链漏洞测试

关注第三方组件的文件处理漏洞：

  • • 编辑器插件：如 Vim 的 tar.vim 插件漏洞（CVE-2025-27423）
  • • 文件处理库：如 ImageMagick 的文件读取漏洞
  • • 下载组件：检查是否使用存在漏洞的文件下载类库
  • • 容器镜像：基础镜像可能包含已知文件处理漏洞

四、防御体系构建

了解漏洞挖掘技巧的同时，更应掌握有效的防御方法。一个完整的防御体系应包括：

  1. 1. 路径白名单机制：将允许下载的文件路径存入数据库，通过 ID 映射而非直接传递路径参数。示例代码： 
// 安全的文件下载实现
\$fileId = $\_GET\['fileId'];
// 从数据库获取预定义的安全路径
\$safePaths = \[1 => '/var/www/files/report.pdf', 2 => '/var/www/files/manual.doc'];
if (isset(\$safePaths\[\$fileId])) {
&#x20;   \$filename = \$safePaths\[\$fileId];
&#x20;   // 验证文件是否存在且在允许的目录内
&#x20;   if (file\_exists(\$filename) && strpos(realpath(\$filename), '/var/www/files/') === 0) {
&#x20;       readfile(\$filename);
&#x20;   }
}
  1. 1. 输入严格过滤：对用户输入的文件参数进行严格校验，禁止包含../、..\、/、\等路径字符，限制只能访问特定目录。
  2. 2. 文件类型验证：不仅验证文件后缀，更要检查文件内容的 MIME 类型，防止伪装的恶意文件。
  3. 3. 权限控制：为文件下载功能添加身份验证和授权检查，确保用户只能下载其有权访问的文件。
  4. 4. 安全配置：
  • • 禁用不必要的协议 handlers（如 PHP 的php://input）
  • • 正确配置open_basedir（PHP）或SecurityManager（Java）
  • • 定期更新服务器软件和组件，修补已知漏洞
  1. 1. 日志审计：记录所有文件下载请求，包括请求 IP、时间、文件路径等信息，便于事后审计和异常检测。


文章来源：HACK之道

本文来源HACK之道，经授权后由华盟君发布，观点不代表华盟网的立场，转载请联系原作者。
华盟君官方
华盟君

5.57K篇文章 177.78M总阅读量

相关文章

发表回复