任意文件读取(Arbitrary File Read Vulnerability)漏洞,允许攻击者通过应用程序访问并读取系统上的任何文件。这个漏洞常见于Web应用程序中,当输入数据未经过适当的过滤或验证时,攻击者便有机会构造恶意请求,从而读取本不该访问的文件。
Windows系统:
C:WindowsSystem32configsam (sam文件)
C:Program Filesmysqlmy.ini (Mysql配置)
/etc/shadow (Linux密码文件)
/etc/my.cnf (Mysql配置信息)
/etc/httpd/conf/httpd.conf (Apache服务器配置文件)
/root/.bash_history (root执行命令记录)
/root/.mysql_history (Mysql历史命令记录)
<?php
// The page we wish to display
$file = $_GET[ 'page' ];
echo file_get_contents($file);
?>
如下站点存在一个图片展示功功能,获取对应图片时,由于没有对用户输入限制进行限制,攻击者可以控制传递至服务端的filename路径参数,导致任意文件读取漏洞的产生,利用该漏洞可以对服务器内部文件进行读取。
2、白名单:实施白名单控制,仅允许访问特定的、预期内的文件或目录。
3、最小化权限原则:定期审查和更新Web服务器的权限设置,以确保其始终符合最小化权限原则。
4、漏洞扫描及代码审计:定期使用专业工具进行漏洞检测,防患于未然。
5、Web应用防火墙:对网站或APP的业务流量进行恶意特征识别及防护,避免服务器被恶意攻击及入侵。
[1] 任意文件读取漏洞详解:https://blog.csdn.net/weixin_58954236/article/details/132642938
[2] java任意文件读取漏洞修复:https://blog.51cto.com/u_16213306/10081124
[3] CMS漏洞:任意文件读取解析:https://baijiahao.baidu.com/s?id=1765608149484014109
[4] 任意文件读取漏洞java任意文件读取漏洞危害:https://blog.51cto.com/u_16099204/6993953
原文始发于微信公众号(上汽集团网络安全应急响应中心):【霄享·安全】任意文件读取漏洞简介(第49期月刊)
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论