Unicode漏洞“BiDi Swap”十年未修复，仍被用于实施网址欺骗
字数 2137 2025-09-23 19:27:38
Web应用程序路径遍历漏洞全面解析与防御指南
漏洞概述
路径遍历漏洞（Path Traversal）又称目录遍历漏洞，允许攻击者通过构造特殊输入访问Web应用程序文件系统中的受限目录或文件，包括应用程序源代码、配置文件和系统关键文件。
漏洞原理
路径遍历漏洞产生于应用程序未对用户输入进行充分验证和过滤，攻击者利用../等特殊字符序列突破访问限制，访问预期目录之外的文件。
攻击技术深度分析
基础攻击向量
- 经典路径遍历：使用
../回溯目录层级
http://example.com/loadImage?filename=../../../etc/passwd
- 绝对路径攻击：直接指定绝对路径
http://example.com/display?file=/etc/passwd
编码绕过技术
-
URL编码：
../→%2e%2e%2f、%2e%2e/、..%2f- 双重编码：
%252e%252e%252f
-
Unicode编码：
- UTF-8编码：
..%c0%af（对应../） - 超长UTF-8编码：
%c0%ae%c0%ae%c0%af
- UTF-8编码：
-
16位Unicode编码：
\u002e\u002e\u002f（JavaScript环境）
特定环境绕过
-
Windows系统特有：
- 使用反斜杠：
..\..\..\windows\system.ini - DOS设备路径：
\\localhost\c$\windows\system.ini - 特殊字符：
..%5c..%5c..%5cwindows%5csystem.ini
- 使用反斜杠：
-
文件系统特性利用：
- 尾部添加额外字符：
../../../etc/passwd%00.png - 使用多个斜杠：
....//....//....//etc/passwd - 路径截断技术：
../../../etc/passwd%00、../../../etc/passwd\0
- 尾部添加额外字符：
高级混淆技术
-
非标准编码：
- HTML编码：
& #46;& #46;/（需去除空格） - 多重编码组合：
%252e%252e%252f
- HTML编码：
-
上下文相关Payload：
- 在文件上传场景：
filename="../../../etc/passwd" - 在压缩文件处理场景：利用ZipSlip漏洞
- 在文件上传场景：
漏洞检测方法论
手动检测步骤
- 输入点识别：查找所有接受文件/路径参数的功能点
- 基础测试：尝试简单
../组合 - 编码测试：应用各种编码方式
- 环境特定测试：根据OS类型使用相应Payload
- 深度测试：尝试访问不同深度和类型的文件
自动化检测工具
- Burp Suite Scanner：专业Web漏洞扫描器
- OWASP ZAP：开源安全测试工具
- 自定义脚本：针对特定应用的定制化测试
漏洞利用实战
信息收集阶段
- 读取Web服务器配置文件：
httpd.conf、nginx.conf - 获取应用程序配置文件：
config.php、web.config、.env - 提取源代码：
index.php、敏感业务逻辑文件
系统渗透阶段
- 读取系统密码文件：
/etc/passwd、/etc/shadow - 获取历史命令：
~/.bash_history - 读取SSH密钥：
~/.ssh/id_rsa - 访问日志文件：
/var/log/auth.log
特定技术栈利用
- PHP：
php.ini、会话文件、包含漏洞结合利用 - Java：
WEB-INF/web.xml、类文件反编译 - Node.js：
package.json、环境变量文件 - Python：
settings.py、Django配置文件的利用
防御机制深度剖析
输入验证策略
- 白名单验证：只允许特定字符和模式
- 规范化处理：对输入进行标准化后再验证
- 边界验证：在系统各层实施防御深度
关键防御技术
# 安全的文件名处理示例（Python）
def secure_filename(filename):
# 规范化路径
normalized_path = os.path.normpath(filename)
# 检查是否尝试向上遍历
if '../' in normalized_path or normalized_path.startswith('/'):
raise SecurityException("非法路径请求")
# 限制允许的字符集
if not re.match(r'^[a-zA-Z0-9_\-\.]+$', normalized_path):
raise SecurityException("文件名包含非法字符")
return normalized_path
多层防御体系
-
应用层防御：
- 输入验证和过滤
- 使用安全API进行文件操作
-
系统层防御：
- 使用chroot jail限制文件系统访问
- 应用最小权限原则运行Web服务器
-
环境层防御：
- 定期更新系统和Web服务器
- 配置严格的文件权限
安全开发实践
安全编码准则
- 永远不信任用户提供的文件路径
- 使用平台提供的安全文件访问API
- 实施基于白名单的输入验证策略
- 对文件操作进行日志记录和监控
框架特定安全措施
- Spring Framework：使用PathResource安全封装
- Express.js：避免直接使用
fs模块与用户输入结合 - Django：使用内置文件响应机制
- Ruby on Rails：利用
send_file的安全特性
测试与验证
漏洞测试清单
- [ ] 基础路径遍历测试
- [ ] 编码绕过测试
- [ ] 环境特定绕过测试
- [ ] 空字节截断测试
- [ ] 绝对路径测试
自动化安全测试
集成SAST/DAST工具到CI/CD流程，定期进行安全扫描和渗透测试。
应急响应
发现路径遍历漏洞后的立即行动：
- 立即修复漏洞并部署补丁
- 审查日志确认是否已被利用
- 检查系统完整性
- 更新安全防护规则
总结
路径遍历漏洞是Web应用程序中常见且危险的安全问题，通过实施深度防御策略、严格输入验证和安全开发实践，可以有效防止此类漏洞的产生和利用。
注：本文仅用于安全研究和防御目的，任何未经授权的测试和利用都是非法的。