1.不安全的文件下载概述

文件下载功能在很多web系统上都会出现，一般我们当点击下载链接，便会向后台发送一个下载请求，一般这个请求会包含一个需要下载的文件名称，后台在收到请求后 会开始执行下载代码，将该文件名对应的文件response给浏览器，从而完成下载。 如果后台在收到请求的文件名后,将其直接拼进下载文件的路径中而不对其进行安全判断的话，则可能会引发不安全的文件下载漏洞。
此时如果 攻击者提交的不是一个程序预期的的文件名，而是一个精心构造的路径(比如../../../etc/passwd),则很有可能会直接将该指定的文件下载下来。 从而导致后台敏感信息(密码文件、源代码等)被下载。

所以，在设计文件下载功能时，如果下载的目标文件是由前端传进来的，则一定要对传进来的文件进行安全考虑。 切记：所有与前端交互的数据都是不安全的，不能掉以轻心！

2.开始过关

进入本关看到下图的页面，点击球员名字可以下载头像图片

点击之后直接下载了，没有页面跳转，地址栏的url没有变化

查看源代码

<a href="execdownload.php?filename=kb.png" >科比. 布莱恩特</a>  对应的就是文件下载的点

把execdownload.php?filename=和当前网页路径组装起来，后面接上我们想要的文件路径：

比如:

http://ip/pk/vul/unsafedownload/execdownload.php?filename=../../../../../../windows/win.ini

一个../就是跳出一级目录到上一级目录下，具体有多少../可以通过已有的信息算，可以多写几个

ip为搭建靶场的ip

访问该地址，win.ini将被下载

由于我这里有防御（下面解释），就没下载成功，详见源代码

此外注意，这关如果用绝对路径，比如

http://ip/pk/vul/unsafedownload/execdownload.php?filename=C:/Windows/win.ini是不能成功的，具体原因见下面

3.防御

首先来看看代码，为什么只能用相对路径不能用绝对路径，以及为什么会出现不安全的文件下载漏洞

首先，从第10行可以看出来，传入的参数前面是拼接了download目录的，这就是为啥本关用绝对路径不好使的原因。

那之所以有不安全的文件下载漏洞的原因是，服务器代码没有对输入的filename进行过滤，只是检查了以下文件是否存在，如果存在就下载了。

这关的一种防御方法是进行白名单过滤，只允许下载的文件是download文件夹下的那些图片：

尝试下载win.ini，下载失败，成功防御