渗透测试之文件操作(上传下载)漏洞&&目录穿越漏洞教程，网络安全零基础入门到精通教程！

本文链接：https://blog.youkuaiyun.com/cxyxx12/article/details/147276982

文章目录

一、引言

文件操作漏洞是Web应用程序中常见且危害严重的安全问题，包括文件下载漏洞、文件读取漏洞和目录穿越漏洞。
这些漏洞通常由于应用程序对用户输入的验证不足或配置不当而产生，攻击者可借此读取敏感文件、下载系统配置甚至漫游内网。
我会说明这些漏洞的定义、成因、利用方法和防御措施，并通过实际案例展示渗透测试步骤。

二、漏洞类型与成因

2.1 文件读取漏洞（列目录漏洞）

定义：文件读取漏洞允许攻击者读取服务器上的任意文件，如配置文件、源代码或系统文件。
成因：Web应用程序未对用户输入的文件路径进行充分验证，攻击者可通过构造恶意路径访问未授权文件。
示例：利用../读取/etc/passwd或config.php。
与敏感目录扫描的关系：文件读取漏洞需结合敏感目录扫描（如/etc/、/root/）才能有效定位目标文件。

2.2 目录穿越漏洞

定义：目录穿越漏洞是文件读取漏洞的一种特例，攻击者通过路径中的../等特殊字符跳出Web根目录，访问系统其他目录。
成因：Web服务器或应用程序未正确规范化文件路径，允许路径操控。
影响：可能导致敏感信息泄露，甚至引发SSRF（服务器端请求伪造）漏洞，威胁内网安全。

2.3 文件下载漏洞

定义：文件下载漏洞允许攻击者下载服务器上的任意文件，而非仅限于业务允许的文件。
成因：应用程序未对下载请求中的文件名或路径进行严格限制。
示例：通过修改URL参数（如?file=../config.php）下载敏感文件。
与文件读取漏洞的联动：文件下载漏洞常需结合文件读取漏洞和目录穿越漏洞，通过读取路径信息定位可下载文件。

2.4 三者关系

文件下载漏洞是最终目标，依赖文件读取漏洞定位文件路径，而目录穿越漏洞则是实现路径跳转的关键。
信息收集是前提，通过敏感目录扫描和爆破字典（如常见配置文件路径）提升利用效率。

三、漏洞利用方法

3.1 信息收集

敏感目录扫描：使用工具（如DirBuster、御剑）扫描Web服务器目录结构，定位敏感文件。
谷歌Hacking：利用语法（如intitle:"index of"）发现目录列出漏洞。
爆破字典：结合常见路径（如/etc/、/root/.ssh/）猜测文件位置。

3.2 漏洞探测

手工测试：在URL中尝试../或直接输入文件名，观察服务器响应。
自动化工具：使用Burp Suite、OWASP ZAP扫描文件操作漏洞。

3.3 漏洞利用

文件读取：构造路径读取敏感文件（如/etc/passwd）。
目录穿越：使用../跳出Web根目录。
文件下载：修改下载参数（如?file=../config.php）获取文件。

3.4 后渗透活动

下载配置文件：获取数据库凭证、API密钥等。
下载日志文件：寻找后台地址或上传点。
下载源代码：进行代码审计，发现更多漏洞。

我给大家准备了一份全套的《网络安全入门+进阶学习资源包》包含各种常用工具和黑客技术电子书以及视频教程，需要的小伙伴可以扫描下方二维码或链接免费领取~

四、实际案例演示

4.1 案例背景

目标：某PHP开发的Web应用，存在文件下载漏洞。
攻击目标：下载config.php，获取数据库凭证。

4.2 攻击步骤

信息收集：
- 使用DirBuster扫描，发现/downloads/目录。
- 谷歌Hacking搜索site:target.com inurl:(downloads)，确认功能点。
漏洞探测：
- 访问/downloads/?file=test.txt，成功下载文件。
- 测试/downloads/?file=../index.php，返回源代码，确认存在目录穿越。
漏洞利用：
- 输入/downloads/?file=../config.php，下载配置文件。
结果分析：
- config.php包含数据库用户名和密码，可用于进一步攻击。

4.3 工具使用

Burp Suite：捕获并修改HTTP请求，测试路径。
Nmap：扫描目标开放端口，辅助信息收集。
Metasploit：利用数据库凭证尝试登录。

4.4 进阶利用（Linux环境）

下载/root/.bash_history，检查历史命令。
下载/var/lib/mlocate/mlocate.db，解析全文件路径：
```
strings mlocate.db > files.txt
```
审计日志文件（如/var/log/apache2/access.log），寻找更多线索。

五、全面技术点介绍

5.1 常见文件路径

Windows：
- C:\boot.ini：系统版本信息。
- C:\Windows\php.ini：PHP配置。
- C:\Program Files\mysql\my.ini：MySQL配置。
Linux：
- /etc/passwd：用户信息。
- /root/.ssh/id_rsa：SSH私钥。
- /var/lib/mlocate/mlocate.db：全文件路径数据库。

5.2 漏洞代码示例

<?php
$filename = $_GET['filename'];
header('Content-Disposition: attachment; filename='.$filename);
readfile($filename); // 未验证路径，直接读取文件
?>

问题：未过滤../或绝对路径。
修复：

<?php
$filename = basename($_GET['filename']); // 仅取文件名
$allowed_dir = '/var/www/downloads/'; // 限制目录
$file_path = $allowed_dir . $filename;
if (file_exists($file_path)) {
    header('Content-Disposition: attachment; filename='.$filename);
    readfile($file_path);
}
?>