1 .定义
路径遍历漏洞成因：服务器端，接收请求中传来的文件名称，在服务器端拼凑成文件的绝对路径，并且用输出流下载。
某网上银行系统任意文件下载漏洞
访问链接：http://econline.***.com.cn:8080/NASApp/iTreasury-ebank/DownloadFile.web?fileName=/etc/passwd
2. 路径遍历防护
方案一：
1、要下载的文件地址保存至数据库中。
2、文件ID使用随机数命名
3、文件路径保存至数据库，用户提交文件对应ID下载文件。
4、下载文件之前做权限判断。
5、记录文件下载日志。
方案二：
针对文件的访问，直接给出文件路径的链接。如：
分享到:
閱讀更多 f飛啊飛f 的文章
