沂樾1. Pikachu靶场中的Unsafe Filedownload漏洞解析
Pikachu靶场作为国内知名的Web安全学习平台，其Unsafe Filedownload模块是文件下载类漏洞的经典教学案例。这个模块模拟了开发者未对文件下载功能做安全校验的场景，攻击者可以通过构造特殊参数实现任意文件下载（Arbitrary File Download）。我在渗透测试项目中遇到过多次类似漏洞，其中某次通过该漏洞成功获取了目标服务器的/etc/passwd文件，进而发现系统存在可登录的低权限用户。
文件下载功能本身是Web应用的常见需求，但当开发人员直接使用用户提供的参数作为文件路径时，如果没有进行严格的过滤和校验，就会形成目录穿越漏洞。攻击者利用../等路径遍历符号，可以突破预设的下载目录限制，访问系统上的敏感文件。在Pikachu靶场中，这个漏洞被设计得非常典型——前端看似只能下载指定目录的文件，但后端实际未对filename参数做任何处理。
重要提示：在实际渗透测试中，任意文件下载往往与信息收集阶段密切相关。通过下载配置文件、日志文件等，可能发现数据库凭证、加密密钥等敏感信息。
1.1 漏洞原理深度剖析
Unsafe Filedownload漏洞的核心在于路径拼接环节缺乏安全校验。以PHP为例，危险代码通常长这样：
php复制$file_path = $_GET['filename'];
header("Content-Type: application/octet-stream");
header("Content-Disposition: attachment; filename=".basename($file_path));
readfile($file_path);
这里存在三个致命问题：
- 直接使用用户输入的filename参数
- 仅对输出的文件名做basename处理（这无法防止路径遍历）
- 未检查文件路径是否在允许范围内
当攻击者提交../../../../etc/passwd这样的参数时，系统会返回敏感文件。我曾在一个真实案例中发现，某OA系统通过这种方式可下载数据库连接配置文件，里面明文存储着数据库管理员密码。
1.2 漏洞利用实战演示
在Pikachu靶场中，利用步骤如下：
-
正常点击"下载图片"按钮，观察URL参数：
code复制/pikachu/vul/unsafedownload/execdownload.php?filename=ai.png -
修改filename参数尝试路径穿越：
code复制/pikachu/vul/unsafedownload/execdownload.php?filename=../../../../etc/passwd -
如果系统是Windows，可尝试：
code复制filename=..\..\..\windows\win.ini
在实际渗透中，我通常会按这个顺序尝试下载：
- /etc/passwd（确认漏洞存在）
- 应用配置文件（如config.php）
- 日志文件（可能包含敏感信息）
- SSH密钥（如.ssh/id_rsa）
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 漏洞防御的工程化实践
2.1 白名单校验方案
最安全的做法是实现白名单机制。以下是Java Spring Boot的示例代码：
java复制@GetMapping("/download")
public ResponseEntity<Resource> download(@RequestParam String filename) {
// 预定义允许下载的文件列表
Set<String> allowFiles = Set.of("report.pdf", "data.csv");
if (!allowFiles.contains(filename)) {
throw new IllegalArgumentException("非法文件名");
}
Path file = Paths.get("/safe/dir", filename).normalize();
if (!file.startsWith("/safe/dir")) {
throw new SecurityException("路径越界");
}
// 后续下载逻辑...
}
关键防御点：
- 使用normalize()处理路径规范化
- 检查最终路径是否在允许的目录下
- 白名单校验文件名
2.2 文件映射ID方案
对于需要动态下载的场景，我推荐使用文件ID映射的方式：
-
创建下载票据表：
sql复制CREATE TABLE download_tickets ( id UUID PRIMARY KEY, real_path VARCHAR(255) NOT NULL, expire_time TIMESTAMP NOT NULL, user_id INT NOT NULL ); -
生成下载链接时：
python复制def generate_download_link(user_id, file_path): ticket_id = str(uuid.uuid4()) expire = datetime.now() + timedelta(hours=1) # 存储到数据库 save_ticket(ticket_id, file_path, expire, user_id) return f"/download?id={ticket_id}" -
下载时校验：
python复制def download_file(request): ticket = get_ticket(request.GET['id']) if not ticket or ticket.expire_time < now(): raise PermissionDenied if ticket.user_id != request.user.id: raise PermissionDenied return send_file(ticket.real_path)
这种方案我在金融项目中成功实施过，既安全又便于审计。
3. 渗透测试中的高级利用技巧
3.1 结合其他漏洞的利用链
单纯的任意文件下载危害有限，但结合其他漏洞可能形成致命攻击链：
- 通过下载
WEB-INF/web.xml获取应用结构 - 分析配置文件找到数据库连接池设置
- 下载日志文件寻找SQL注入点
- 组合利用获取服务器权限
在某次红队行动中，我们通过下载Tomcat的conf/tomcat-users.xml文件，获取了管理后台密码，进而部署恶意WAR包获得服务器控制权。
3.2 模糊测试技巧
使用Burp Suite进行自动化测试时，我的常用payload列表包括：
code复制../../../etc/passwd{{
..\..\..\windows\win.ini
....//....//etc/passwd
/%2e%2e/%2e%2e/etc/passwd
对于Java应用，特别要尝试：
code复制WEB-INF/web.xml
META-INF/context.xml
经验之谈：遇到URL编码过滤时，尝试双重编码（如%252e%252e%252f）有时能绕过防御。
4. 企业级防御方案设计
4.1 安全开发生命周期集成
在我主导的企业安全项目中，我们在SDLC中嵌入了以下控制点：
- 需求阶段：明确文件下载的安全要求
- 设计阶段：采用安全架构模式（如前面提到的文件ID映射）
- 实现阶段：使用安全组件库中的DownloadValidator
- 测试阶段：自动化扫描包含的测试用例
4.2 运行时防护方案
对于遗留系统，我们部署了以下WAF规则：
nginx复制location ~* /download {
if ($args ~* "\.\.") {
return 403;
}
if ($args ~* "(etc|passwd|win\.ini|web\.xml)") {
return 403;
}
}
同时建议部署RASP方案，实时监控并阻断恶意文件访问行为。
5. 漏洞修复的演进历程
从安全从业者的视角，我观察到文件下载漏洞防护经历了三个阶段：
-
黑名单过滤（容易绕过）
php复制// 不安全的黑名单示例 if (preg_match('/\.\.|etc|passwd/', $filename)) { die('非法请求'); } -
基础白名单（仍有缺陷）
python复制allowed_ext = ['.pdf', '.docx'] if not filename.endswith(tuple(allowed_ext)): abort(403) -
现代综合防护（推荐）
- 内容分发网络（CDN）签名URL
- 对象存储服务临时令牌
- 文件内容类型二次校验
某次事故分析中发现，攻击者上传了恶意PDF文件（实际是PHP脚本），然后通过下载漏洞执行。现在我们都会在下载时再次校验文件魔术头：
java复制byte[] magic = Files.readAllBytes(file.toPath(), 0, 4);
if (!isPdfHeader(magic)) { // 检查PDF文件头
throw new SecurityException("文件类型不符");
}
文件下载功能看似简单，但要做好安全防护需要开发者具备纵深防御思维。建议在代码审查时特别关注所有涉及文件操作的代码路径，建立对应的测试用例，并考虑在CI/CD流水线中加入自动化安全测试。