任意文件下载漏洞

一丶漏洞原理

文件下载（一些网站由于业务需求，往往需要提供文件查看或文件下载功能，但若对用户查看或下载的文件不做限制，则恶意用户就能够查看或下载任意敏感文件，这就是文件查看与下载漏洞。）

任意文件下载漏洞，正常的利用手段是下载服务器文件，如脚本代码，服务器配置或者是系统配置等等。但是有的时候我们可能根本不知道网站所处的环境，以及网站的路径，这时候我们只能利用./ ../来逐层猜测路径，让漏洞利用变得繁琐。
此时如果攻击者提交的不是一个程序预期的的文件名，而是一个精心构造的路径(如../../../etc/passwd),则很有可能会直接将该指定的文件下载下来。从而导致后台敏感信息(密码文件、源代码等)被下载。
所以，在设计文件下载功能时，如果下载的目标文件是由前端传进来的，则一定要对传进来的文件进行安全考虑。

如下代码一个正常的网站，存在一个下载文件的功能，同时还会从浏览器接收文件名字，将存在任意文件下载漏洞。
<?php
    $filename = $_GET['filename'];
    echo '<h1>讲开始下载文件！</h1><br /><br />';
    echo file_get_contents($filename); 　　　　//无过滤导致漏洞函数 file_get_contents 函数把整个文件读入一个字符串中并输出

    header('Content-Type: imgage/jpeg');
    header('Content-Disposition: attachment; filename='.$filename);
    header('Content-Lengh: '.filesize($filename));

?>

二丶漏洞发现

如何发现（网站URL中存在下载参数，并且未进行过滤../../../字符，且输出了文件内容）
1.Google search
利用inurl:"readfile.php?file="

2.从链接上看，形如：
    • download.php?path=
    • download.php?file=
    • down.php?file=
    • data.php?file=
    • readfile.php?file=
    • read.php?filename=

3.从参数名看，形如：
    • &RealPath=
    • &FilePath=
    • &ﬁlepath=
    • &Filepath=
    • &Path=
    • &path=
    • &inputFile=
    • &Inputfile=
    • &url=
    • &urls=
    • &Lang=
    • &dis=
    • &data=
    • &Data=
    • &readﬁle=
    • &ﬁlep=
    • &src=
    • &menu=
    • META-INF
    • WEB-INF

4. index.php?f=../../../../../../etc/passwd

index.php?f=../index.php

index.php?f=ﬁle:///etc/passwd

readfile.php?file=/etc/passwd

readfile.php?file=../../../../../../../../etc/passwd

readfile.php?file=../../../../../../../../etc/passwd%00（00截断）

注：当参数f的参数值为php文件时，若是文件被解析则是文件包含漏洞，

    若显示源码或提示下载则是文件查看与下载漏洞

三丶漏洞绕过

1.若过滤字符或字母可尝试编码绕过

2.利用 ../../

but有些代码会进行过滤(具体要根据代码进行测试)，会把 ../ 置空
利用....// 代替 ../
利用..// 代替 /

具体怎么绕过还是得看代码是怎么写的
3.

注意
①.注意 ../ 的数量，他代表查询目录父目录的数量
②.当我们遇到一个任意文件下载漏洞时首先要注意下载的权限问题。因为权限决定我们能下载的文件范围。
③.有些网站（主要是针对系统）并不会在URL里显示给你看，这时候你需要抓包，从数据包里修改路径，达到任意文件读取。

四丶漏洞利用

利用:（信息收集信息>猜路径 >>下载配置文件/代码文件 >> 利用服务器软件漏洞> shell> 提权）
1.任意文件下载漏洞的利用主要是为了信息收集，我们通过对服务器配置文件的下载，获取到大量的配置信息、源码，从而根据获取的信息来进一步挖掘服务器漏洞从而入侵。

2.下载常规的配置文件，例如: ssh,weblogic,ftp,mysql等相关配置
下载各种.log文件，从中寻找一些后台地址，文件上传点之类的地方，如果运气好的话会获得一些前辈们的后门。
下载web业务文件进行白盒审计，利用漏洞进一步攻入服务器

3.Windows：（windows的这些路径不一定都存在）

    C:\boot.ini //查看系统版本

    C:\Windows\System32\inetsrv\MetaBase.xml          //IIS配置文件

    C:\Windows\repair\sam                                          //存储系统初次安装的密码

    C:\Program Files\mysql\my.ini                               //Mysql配置

    C:\Program Files\mysql\data\mysql\user.MYD     //Mysql root

    C:\Windows\php.ini             //php配置信息

    C:\Windows\my.ini            //Mysql配置信息

    C:\Windows\win.ini            //Windows系统的一个基本系统配置文件

Linux：

    /root/.ssh/authorized_keys

    /root/.ssh/id_rsa

    /root/.ssh/id_ras.keystore

    /root/.ssh/known_hosts            //记录每个访问计算机用户的公钥

    /etc/passwd

    /etc/shadow

    /usr/local/app/php5/lib/php.ini               //PHP配置文件

    /etc/my.cnf                //mysql配置文件

    /etc/httpd/conf/httpd.conf            //apache配置文件

    /root/.bash_history            //用户历史命令记录文件

    /root/.mysql_history            //mysql历史命令记录文件

    /proc/mounts                //记录系统挂载设备

    /porc/config.gz               //内核配置文件

    /var/lib/mlocate/mlocate.db        //全文件路径

    /porc/self/cmdline            //当前进程的cmdline参数

五丶漏洞防护

过滤.(点)，使用户在url中不能回溯上级目录
正则严格判断用户输入参数的格式
php.ini配置open_basedir限定文件访问范围

任意文件下载漏洞

推荐阅读