渗透测试教学：未授权文件下载与越权文件上传漏洞分析

1. 漏洞概述

本文档基于FreeBuf文章《渗透测试 | 黑白盒某学习刷课漏洞挖掘经验分享》中的实际案例，详细分析两种常见的高危漏洞：未授权文件下载和越权文件上传。这两种漏洞在Web应用中普遍存在，可导致数据泄露甚至服务器沦陷。

2. 未授权文件下载漏洞

2.1 漏洞原理

未授权文件下载漏洞是指系统未对文件下载请求进行适当的权限验证，导致攻击者可以通过直接访问URL或猜测文件名的方式下载敏感文件。

2.2 漏洞代码分析

$fname = 'data/score/'.$this->ev->get('subjectid').'-'.$this->ev->get('sectionid').'-'.$this->ev->get('knowsid').'-questions.csv';

关键问题：

1. 文件路径和名称由用户可控参数拼接而成（subjectid, sectionid, knowsid）
2. 生成的文件直接存放在Web可访问目录下（data/score/）
3. 下载链接直接暴露在前端响应中

2.3 漏洞利用流程

1. 攻击者访问试题导出功能，观察文件生成逻辑
2. 分析文件名构造规则（参数拼接+固定后缀）
3. 尝试直接访问可能存在的文件：

   http://target.com/data/score/1-1-1-questions.csv
   

4. 通过遍历参数值或爆破文件名获取更多敏感文件

2.4 修复建议

1. 对文件下载功能增加权限验证
2. 使用随机生成的文件名而非可预测的命名规则
3. 将生成的文件存放在Web根目录之外
4. 设置文件访问令牌（token）机制
5. 定期清理临时生成的文件

3. 越权文件上传漏洞

3.1 漏洞原理

越权文件上传漏洞是指系统未对上传功能进行严格的权限验证和文件类型检查，导致攻击者可以上传恶意文件（如webshell）到服务器。

3.2 典型漏洞特征

1. 缺少文件类型检查（仅前端验证）
2. 未验证用户权限（任何用户都可上传）
3. 上传路径可预测或可控
4. 未对文件内容进行安全检查
5. 上传后的文件可直接访问执行

3.3 漏洞利用方法

1. 绕过前端验证：修改请求直接上传恶意文件
2. 尝试上传各种类型文件（.php, .jsp, .asp等）
3. 使用双扩展名绕过（如test.php.jpg）
4. 修改Content-Type头绕过检查
5. 利用解析漏洞（如Apache解析漏洞）

3.4 修复建议

1. 实施严格的权限验证机制
2. 在后端进行文件类型检查（MIME类型+扩展名）
3. 重命名上传文件（使用随机名称）
4. 设置文件上传白名单
5. 将上传目录设置为不可执行
6. 对图片文件进行二次渲染处理
7. 限制上传文件大小

4. 渗透测试方法论

4.1 黑盒测试方法

1. 功能点测试：逐一测试每个上传/下载功能
2. 参数篡改：修改ID、文件名等参数
3. 目录遍历：尝试访问上级目录（如../../）
4. 暴力破解：尝试常见文件名（如backup.zip）
5. 流量分析：拦截请求分析文件处理逻辑

4.2 白盒测试方法

1. 代码审计重点：
   • 文件操作函数（fopen, file_get_contents等）
   • 路径拼接逻辑
   • 权限验证代码
   • 文件类型检查逻辑
2. 追踪用户输入流向
3. 检查配置文件权限设置

5. 漏洞危害评估

6. 防御体系设计

6.1 架构层面

1. 实施最小权限原则
2. 分离上传服务器与应用服务器
3. 使用CDN分发静态文件
4. 部署WAF防护

6.2 代码层面

1. 使用安全框架提供的文件处理组件
2. 实施输入验证和输出编码
3. 记录所有文件操作日志
4. 定期安全代码审计

6.3 运维层面

1. 定期漏洞扫描
2. 文件系统权限检查
3. 日志监控与分析
4. 安全补丁及时更新

7. 总结

未授权文件下载和越权文件上传是Web应用中最常见的高危漏洞之一，通过本文的分析和防御建议，开发人员和安全工程师可以更好地理解和防范这类安全问题。在实际开发中，应当遵循"不信任任何输入"的原则，对所有用户提供的参数进行严格验证，并实施多层防御策略。