Java Web任意文件下载漏洞防御实践

1. 任意文件下载漏洞的本质与危害

在Java Web开发中，任意文件下载（Arbitrary File Download）是最常见的高危漏洞之一。这个漏洞的本质是服务端未对用户请求的文件路径进行严格校验，导致攻击者可以通过构造特殊路径下载服务器上的任意文件。去年某电商平台就因这个漏洞导致数万用户数据泄露，直接经济损失超过300万元。

任意文件下载与文件包含漏洞经常被混淆，但两者有本质区别：

• 文件下载：直接返回文件内容给客户端
• 文件包含：将文件作为代码执行

典型的攻击场景包括：

1. 下载配置文件（如/etc/passwd、web.xml）
2. 获取数据库连接信息（jdbc.properties）
3. 窃取源代码（.java、.class文件）
4. 读取日志文件获取敏感信息

重要提示：即使文件存储在非web目录，只要Java进程有读取权限，攻击者就可能通过../路径遍历获取到这些文件。

2. 漏洞产生的典型场景分析

2.1 直接路径拼接漏洞

这是最经典的漏洞模式，代码示例如下：

java复制@GetMapping("/download")
public void download(@RequestParam String filename, 
                    HttpServletResponse response) {
    String filePath = "/uploads/" + filename; // 直接拼接
    File file = new File(filePath);
    // 传输文件给客户端...
}

当用户传入filename=../../../etc/passwd时，服务端就会返回系统敏感文件。我在审计某金融系统时，就曾用这种方式获取到了数据库密码配置文件。

2.2 未校验文件类型

即使限制了目录，未校验文件类型也会导致问题：

java复制String safePath = "/safe_dir/" + filename;
if(!safePath.startsWith("/safe_dir")) {
    throw new SecurityException("非法路径");
}
// 但仍然可以下载.jsp源码文件

2.3 编码绕过漏洞

攻击者可能使用URL编码、双重编码等方式绕过检查：

• %2e%2e%2f → ../
• ..%252f → ../ (双重解码后)

3. 防御方案与最佳实践

3.1 白名单校验文件路径

这是最可靠的防御方式，具体实现：

java复制// 预定义允许下载的文件名
private static final Set<String> ALLOWED_FILES = Set.of(
    "user_guide.pdf", "template.docx");

public void downloadSafe(String filename) {
    if(!ALLOWED_FILES.contains(filename)) {
        throw new SecurityException("非法文件请求");
    }
    // 安全下载逻辑...
}

3.2 文件ID映射机制

更安全的做法是使用文件ID而非真实文件名：

1. 文件上传时生成唯一ID存储到数据库
2. 下载时通过ID查询真实路径
3. 记录下载日志用于审计

sql复制CREATE TABLE secure_files (
    id UUID PRIMARY KEY,
    real_path VARCHAR(255) NOT NULL,
    download_count INT DEFAULT 0
);

3.3 安全校验工具类

推荐使用Apache Commons IO的FilenameUtils工具：

java复制import org.apache.commons.io.FilenameUtils;

String safePath = FilenameUtils.normalize(
    "/safe_dir/" + filename);
if(safePath == null || !safePath.startsWith("/safe_dir")) {
    throw new SecurityException("非法路径");
}

该方法会自动处理../等路径遍历字符，返回null如果路径不安全。

4. 深度防御与运维加固

4.1 文件系统权限控制

即使应用层防护失效，系统层仍可提供保护：

bash复制# 只允许tomcat用户读取web目录
chown -R tomcat:tomcat /var/www
chmod -R 750 /var/www

4.2 容器化环境特殊配置

在Docker中需要特别注意：

dockerfile复制FROM tomcat:9
# 禁止访问root目录
VOLUME ["/usr/local/tomcat/webapps"]
USER tomcat  # 非root运行

4.3 实时监控方案

推荐使用ELK搭建下载行为监控：

1. 日志收集所有下载请求
2. 设置告警规则（如频繁访问.jsp文件）
3. 对可疑IP进行自动封禁

5. 漏洞检测与渗透测试

5.1 手工测试方法

使用Burp Suite进行测试：

1. 拦截正常文件下载请求
2. 修改filename参数为../../../../etc/passwd
3. 观察响应内容

5.2 自动化扫描工具

推荐使用OWASP ZAP的主动扫描：

bash复制docker run -it owasp/zap2docker-weekly zap-cli quick-scan \
  -s xss,sqli,file-download \
  http://target:8080

5.3 代码审计要点

在代码审查时重点关注：

• 所有涉及文件操作的API（FileInputStream等）
• 未校验的用户输入作为文件路径
• 动态文件包含逻辑

我在实际项目中总结出一个规律：80%的任意文件下载漏洞都出现在"下载导出"功能模块中，特别是Excel/PDF导出功能。