pikachu Unsafe Filedownload 不安全的文件下载 （皮卡丘漏洞平台通关系列）

这关也几乎是一步就能搞定

1、轻松过关

进入本关看到下图的页面，点击球员名字可以下载头像图片

点击之后直接下载了，没有页面跳转，地址栏的url没有变化

右键 查看网页源代码 

通过球员名称快速定位到相关代码

类似  <a href="execdownload.php?filename=ai.png" >阿伦.艾弗森</a>  对应的就是文件下载的点

把execdownload.php?filename=和当前网页路径组装起来，后面接上我们想要的文件路径：

比如payload：   http://ip:port/pikachu/vul/unsafedownload/execdownload.php?filename=../../../../../../Windows/win.ini

一个../就是跳出一级目录到上一级目录下，具体有多少../可以通过已有的信息算，或者一个一个摸索。

浏览器地址栏输入这个payload，win.ini被成功下载。

此外注意，这关如果用绝对路径，比如 http://ip:port/pikachu/vul/unsafedownload/execdownload.php?filename=C:/Windows/win.ini是不能成功的，具体原因下一部分分析代码的时候讲。

2、试试防御

首先来看看代码，为什么只能用相对路径不能用绝对路径，以及为什么会出现不安全的文件下载漏洞

和本漏洞无关的代码就没有截进来了

首先，从第10行可以看出来，传入的参数前面是拼接了download目录的，这就是为啥本关用绝对路径不好使的原因。

不信的话，可以把这行改成下面这样，前面不拼接download目录：

这样用绝对路径就能成功了

那之所以有不安全的文件下载漏洞的原因是，服务器代码没有对输入的filename进行过滤，只是检查了以下文件是否存在，如果存在就下载了。

这关的一种防御方法是进行白名单过滤，只允许下载的文件是download文件夹下的那些图片：

图片太多了。。。选个ai.png来意思一下。。。修改代码如下，15行增加对文件路径的白名单过滤

尝试下载ai.png，可以下载成功

尝试下载win.ini，下载失败，成功防御

3、理论学习

在网上看到两个还不错的

目录浏览(目录遍历)漏洞和任意文件读取/下载漏洞

任意文件下载漏洞学习

 

P.S.  pikachu的作者定是爱好篮球的大直男，如果有朝一日我有这本事，定要写个靶场安利EXO和漫威(～￣▽￣)～