Pikachu靶场-合集
# Pikachu靶场漏洞教学：不安全的文件下载、目录遍历与敏感信息泄露
## 1. 不安全的文件下载漏洞
### 1.1 漏洞概述
不安全的文件下载漏洞通常出现在Web系统的文件下载功能中。当用户点击下载链接时，后台接收文件名参数后直接拼接进文件路径而不进行安全校验，攻击者可通过构造恶意路径下载服务器上的敏感文件。
### 1.2 漏洞原理
1. 前端发送下载请求，包含需要下载的文件名
2. 后台直接将文件名拼接到下载路径中
3. 缺乏对文件名的安全校验
4. 攻击者可构造如`../
2025-08-24 19:43:49
0