目录遍历漏洞原理、解决方案_偷偷学习被我发现的博客-爱代码爱编程
一、目录遍历漏洞
目录遍历(路径遍历)是由于web服务器或者web应用程序对用户输入的文件名称的安全性验证不足而导致的一种安全漏洞,使得攻击者通过利用一些特殊字符就可以绕过服务器的安全限制,访问任意的文件(可以使web根目录以外的文件),甚至执行系统命令。
存在的危害
- 读取的文件可能包括应用程序代码和数据、后端系统的凭据以及敏感的操作系统文件等。
- 在某些情况下,攻击者可能能够写入服务器上的任意文件,从而允许他们修改应用程序数据或行为,并最终完全控制服务器
原理
程序在实现上没有充分过滤用户输入的…/之类的目录跳转符,导致恶意用户可以通过提交目录跳转来遍历服务器上的任意文件。
二、防御方案
对用户的输入进行验证,特别是路径替代字符如“…/”和“~/”。
尽可能采用白名单的形式,验证所有的输入。
合理配置Web服务器的目录权限。
当程序出错时,不要显示内部相关配置细节。
对用户传过来的文件名参数进行统一编码,对包含恶意字符或者空字符的参数进行拒绝。
例如
可以修改tomcat的web.xml配置文件
tomcat 的web.xml 配置文件中有一个属性值 listing (Directory Listing),这个属性值是控制是否展示虚拟目录;