1 .定義
路徑遍歷漏洞成因：服務器端，接收請求中傳來的文件名稱，在服務器端拼湊成文件的絕對路徑，並且用輸出流下載。
某網上銀行系統任意文件下載漏洞
訪問鏈接：http://econline.***.com.cn:8080/NASApp/iTreasury-ebank/DownloadFile.web?fileName=/etc/passwd
2. 路徑遍歷防護
方案一：
1、要下載的文件地址保存至數據庫中。
2、文件ID使用隨機數命名
3、文件路徑保存至數據庫，用戶提交文件對應ID下載文件。
4、下載文件之前做權限判斷。
5、記錄文件下載日誌。
方案二：
針對文件的訪問，直接給出文件路徑的鏈接。如：
分享到:
閱讀更多 f飛啊飛f 的文章
