(Security).NET/C# zabraňuje prístupu k sťahovaniu naprieč adresármi

Malý · Zverejnené 7. 4. 2021 o 11:57:38

Scenár: Existuje API rozhranie, ktoré prijíma parametre cesty, dokončuje cestu súboru cez určité pravidlá a potom reaguje na stiahnutie používateľovi.

Request:
ZÍSKAŤ /download_page?id=content.dat HTTP/1.1

Request:
GET /download_page?id=.. %2f.. %2fweb.config HTTP/1.1(Tým sa stiahne web.config súbor servera）

Predpokladajme, že D:\storage\123 je koreňový adresár úložiska a všetky uložené súbory sú v tomto adresári, keď používateľ pridá cestu do : . Symbol je možné prekrížiť pod predchádzajúcim adresárom a parameter URL je odovzdaný vzťahom: /.. / Jednoduchý prístup k citlivým zdrojom a stiahnutiam.

riešenie

Najskôr sa pozrime na vizualizácie:

Kód je nasledovný:

Prihlásenie je viditeľné.

[Zdroj] (Security).NET/C# zabraňuje prístupu k sťahovaniu naprieč adresármi

Súvisiace príspevky

Zobrazené sekcie