从0到1完全掌握目录遍历漏洞

什么是目录遍历：

目录遍历漏洞是由于网站存在配置缺陷，导致网站目录可以被任意浏览，这会导致网站很多隐私文件与目录泄露。

比如数据库备份文件、配置文件等，攻击者利用该信息可以为进一步入侵网站做准备。

简单来说，我个人认为目录遍历更像是一种 trick，是一种可以配合其他攻击一起使用的 trick，利用方法高于 CSRF 与 CORS。

早在最早接触的 dirb、御剑、Burpsuite 中的目录爆破工具，如果能扫出一些存在/存活的目录，其实就是目录遍历漏洞的一种。

• 总而言之，目录遍历这个漏洞是需要经常去摸一摸，探一探的。

• 存在资源的地方就极有可能存在目录遍历

常见的目录遍历的攻击方法：

首先要特别明确的一个点是，目录遍历的攻击基于操作系统。
基于操作系统，例如 Linux 操作系统下，cd ..命令是返回上一级目录。

• ../这个命令，贯穿了整个目录遍历攻击，也是目录遍历攻击的核心。

如果对方服务器是 Linux，攻击手段就是通过../，这一个../将贯穿整个目录遍历攻击，

在文件上传中利用目录遍历漏洞

靶场地址：WebGoat 靶场，目录遍历下的 PageLesson2

• 题目中简单描述了通过文件上传利用目录遍历漏洞

靶场界面

• 题目的要求，让我们讲图片上传至非本目录下。

• 本来要上传的目录是：/PathTraversal/user/tests 下，我们能够通过目录遍历的方式，将要上传的图片上传至其他目录。

已经 OS 为 Linux，所以使用../来完成目录遍历攻击，

利用 Burpsuite 抓包，将 "test" 修改为 "../test"，也就是 /test 目录的上一级目录。

如图，修改成功，将头像上传至 /PathTraversal/user 目录下了。

 

对网站上存在的资源点进行目录遍历攻击

• 网站上存在的资源点：比如图片这种资源，在请求图片的同时尝试目录遍历。

例如，图片资源所在的目录：

127.0.0.1/home/image

而在 127.0.0.1/home 下存在一个名为password.txt的文件，

image 通过 GET 请求获取参数，那么获取图片的 url 就是。

127.0.0.1/home/image?filename=1.jpg

当然，/home 根目录当然不会流出来。此时如果我们将 filename 的请求变成../1.jpg，请求就变成了

127.0.0.1/home/image?filename=../1.jpg

直接就访问到了 /home 这一目录下，所以此时，若我们把请求再构造一下，就不是那么简单的事情了，filename=../password.txt，请求就变成了

127.0.0.1/home/image?filename=../password.txt

这下就出大问题了吧！~

接下来我们通过一道靶场再深化一下对已有资源点进行目录遍历的攻击方式

靶场地址：已有资源点的目录遍历

• 靶场要求我们搞到 /etc/passwd 这一文件

靶场界面如图所示

抓包，并点开图片，获取到图片的 GET 请求。并直接开始我们的目录遍历攻击。

目录遍历攻击成功，返回的是 400，说明服务器后台并未对目录遍历攻击作任何限制，但是并没有请求到资源，再往上一层试试。也就是../../。也失败了，不要着急，继续尝试。

终于在第三层的时候成功了！不容易啊……

本身 /etc/passwd 这一文件在 Linux 当中是非常重要的文件了

对目录遍历的防御方法：

1. 对简单../的目录遍历防御

当服务器后台过滤../的时候，例如这段代码

return super.execute(file, fullName != null ? fullName.replace("../", "") : "");

此时因为输入的../会被处理，替换成空格。

那么我们通过双写绕过，也就是输入..././，它会被解析成 ==》../
成功绕过~

靶场地址： WebGoat Path Traversal PageLesson3

• 一般的防御手段的源码如图所示

绕过如图所示

2. GET 请求参数中不允许存在..与/

回顾一下之前的例子：对网站上存在的资源点进行目录遍历攻击。

此时我们请求资源是通过 GET 请求中的参数的，若参数中不允许存在..与/，较难进行目录遍历攻击，但总归还是有绕过方法的 ~

• 原理： 服务器后台在获取我们的参数值之后，会进行一次 url 编码，若只是单纯的对参数进行这种过滤，则可以通过 url 编码绕过。

• payload

?filename=%2e%2e%2f/etc/passwd

%2e%2e ------> ..
%2f ------> /

可以如此绕过。具体靶场可以看 WebGoat Path Traversal PageLesson5。

• 防御的源码如图所示

使用 url 编码绕过，