本文详细记录了一次Zip Slip任意文件写漏洞的复现和原理分析，揭示了Java等语言中存在的目录穿越问题。通过构造特殊zip文件，可以实现对服务器上任意文件的覆盖。漏洞利用需满足特定条件，包括恶意压缩文件和缺乏目录检查的解压代码。文章引用了多个参考来源，讨论了多种编程语言中的Zip Slip漏洞，并提供了预防措施。
记一次Zip Slip任意文件写漏洞以及参考文章们
记一次Zip Slip任意文件写漏洞
漏洞复现
第一次在测试中见到这个安全问题，故记录一下。(由于涉及到公司信息，故打码严重，只做简单复现)
首先发现到这里存在一个zip文件上传点:
于是我们构造特殊的zip压缩文件。
import zipfile
# the name of the zip file to generate
zf = zipfile.ZipFile('out.zip', 'w')
# the name of the malicious file that will overwrit
订阅专栏 解锁全文
扫一扫
2089
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
