web安全（7）-- 任意文件下载漏洞

1.1 漏洞描述

    一些网站由于业务需求，可能提供文件查看或下载的功能，如果对用户查看或下载的文件不做限制，则恶意用户就能够查看或下载任意的文件，可以是源代码文件、敏感文件等。

1.2 漏洞危害

    下载服务器任意文件，如脚本代码，服务及系统配置文件等；可用得到的代码进一步代码审计，得到更多可利用漏洞
1.3 漏洞演示

    该部分主要讲述两种简单的利用方法，下载tomcat的配置文件和下载网站本身的源代码。
1）Jsp站点的一个下载点:
http://www.test.cn/down.jsp?filename=%D5%D0%B1%EA%CF%EE%C4%BF%C9%EA%C7%EB1.doc&path=C:/Program%20Files/Apache%20Software%20Foundation/Tomcat%206.0/webapps/ZTBWZ/upload/%D5%D0%B1%EA%CF%EE%C4%BF%C9%EA%C7%EB1.doc
    可以看到该下载点，有两个参数，其实是一样的，很容易看出path是待下载文件的在服务器上的绝对路径。而且网站放到tomcat的安装路径下，这一点很重要，说明可以直接访问tomcat的manager/html
    请求: http://www.test.cn/manager/html     可以看到访问正常，输入用户名和密码就可以登录。
    因此下一步就是下载tomcat的配置文件tomcat-users.xml（里面保存登录的用户名和密码）
    首先需要对tomcat配置有些了解，具体配置如下:
    tomcat-users.xml 在conf文件下，这样就可以直接使用下载点下载该文件。
    因此构造url如下:
http://www.test.cn/down.jsp?filename=tomcat-users.xml&path=C:/Program%20Files/Apache%20Software%20Foundation/Tomcat%206.0/conf/tomcat-users.xml
    下载成功:
    打开该文件获得用户名和密码
    登录成功
    下面直接，上传一个war文件，就可以获得webshell,完成了一次简单的测试。
2）下载网站本身源代码
    下载点: http://test.edu.cn/file.do?method=downFile&fileName=20080505094144.doc     测试一下不能访问http://test.edu.cn/manager/html
    上述方法失效。

首先下载网站的配置文件jsp的配置文件放在根目录WEB-INF/Web.xml下(一般都有很多内容,有时含有数据库连接用户名和密码等关键信息)

访问:
http://test/file.do?method=downFile&fileName=../WEB-INF/Web.xml
    下载后打开,关键内容:
    后台使用fckeditor编辑器，该编辑器漏洞很多，直接使用该编辑器直接上传路径
http://test//admin/FCKeditor/editor/filemanager/browser/default/browser.html?Type=image&Connector=connectors/jsp/connector
    选择一个jspshell直接上传，获得webshell，没有任何限制
    系统权限，渗透完成。
1.4 修复方案

    1）过滤点(.)使用户在url中不能回溯上级目录
    2）正则严格判断用户输入参数的格式
    3）将下载区独立出来，放在项目路径外，给每个下载资源固定的URL，而不是所有的下载资源都是统一的URL：http://www.test.com/download?filename=文件名

1.5 相关参考
http://www.cnblogs.com/Time-Cat00/p/5810770.html
http://h.evil.blog.163.com/blog/static/997935042012223112435259/