OWASP-TOP10之任意文件下载漏洞：高危漏洞

1.中间件勾了目录浏览就会存在任意文件下载的风险。

 出现下图就可以随意下载文件了：

2.什么是任意文件下载：

 一些网站由于业务需求，往往需要提供文件查看或文件下载功能，但若对用户查看或下载的文件不做限制，则恶意用户就能够查看或下载任意敏感文件，这就是文件查看与下载漏洞。

出现的原因是：没有指定文件或者路径

../后面要加上要下载的文件名，就可以实现文件任意下载。

对于linux系统不管几级目录，只需要../../../../../etc/passwd

3.如何查找这样的漏洞：看到类似下面的链接形式可以退通过../../查看是否能够下载其他文件

一般链接形式:
download.php?pa