文章总结： 本文系统梳理文件上传下载功能的安全测试方法，涵盖ID遍历、SQL注入、任意文件读取等漏洞场景，提供路径覆盖、OSS绕过等实战技巧及内网渗透思路，强调参数可控性检测与权限利用。 综合评分： 75 文章分类： 漏洞分析,WEB安全,渗透测试,实战经验,安全工具
type类型任意文件读取
接口中出现type类型参数时,尝试读取文件,最不起眼的参数也可能隐藏着重大的安全风险,设计要文件相关的参数都需要铭感起来filename
GET /api/saber?type=xxxxx GET /api/saber?type=../../../../../../etc/passwd
任意文件上传/类型解析
https://mp.weixin.qq.com/s/MEodN2cUG55rOnBMz48LqA
阿里云任意文件上传的时候，先判断文件的路径和文件名是否可控，接着去同厂商的其他网站查找静态图片或文件，看是否可以相互转换，实现任意文件覆盖
上传图片任意上传html asp php的文件,如路径可控进行路径穿越
1.png --->1.php----->1.html....static/img/img1: 存放静态资源图片等信息的服务器
不做解析情况
不做解析我们修改文件类型Content-Type为我们想要的,上传的文件是HTML PDF SVG格式 不解析但是可以预览,或许是因为这个类型没有改变,把它的东西全部作为图片去解析了,尝试更改类型
(此操作情况是上传的文件支持预览操作而不是访问后直接下载,这样才有危害)
Content-Type: image/jpeg // 正常图片类型--------------------------------------------------------Content-Type: text/html // HTML文档类型上传.html修改Content-Type: application/pdf // PDF文件格式Content-Type: application/x-httpd-php // PHP格式Content-Type: application/jsp // JSP格式Content-Type: application/xml // XML格式
上传泄露bucket桶覆盖文件
STStoken覆盖文件
导入或者上传的功能点,也是上传过后响应包返回了如下数据,如不知道桶名只能源码慢慢审查,判断是哪个云厂商然后找平台文档找脚本进行应用填入对应的值,还是需要一个包一个包的找泄露
Bucket 桶名tmp_secret_keytmp_tokene-------secret_id=secret_key=
导出文件
CSV注入
其实此漏洞大多数SRC不会收取,因为危害大小完全是人为控制的,导出的xlsx没有被触发那么就一定没有效果,只能做到钓鱼的效果,但学习一下不是坏事,在不限制漏洞类型的众测中还是可以捡到钱的大部分人忽略了这个问题
CSV注入详解-先知社区
=1+cmd|'/C calc'!A0 # 弹出计算机
PDF导出SSRF内网
网页导出表格或者html文档为PDP或者图片JPG,只要抓包存在https以先测试H1标签.如果导出的PDF出现了标签代表解析HTML标签使用iframe标签新开窗测试解析DNS,只要对外发出请求了DNS收到响应,那么代码里面再嵌入内网地址读取也是SSRF再尝试file协议读取文件
https://mp.weixin.qq.com/s/ZfyJgZbuw58qK7TjjKEdmg
相关组件及业务场景尝试
从PDF导出到SSRF
-
导出PDF文件或者其他文件内容可控
-
解析HTML
导出场景
出现代码手动插入payload,插入后等待DNS响应,响应成功代表是有SSRF请求了,再利用伪协议读取文件
<img src="https://cdn.nlark.com/yuque/0/2025/svg/22621815/1746580510639-7332d640-7031-4964-8b00-f0932cd61bf9.svg" /># file协议读文件<iframe src="file:///etc/passwd" width=400height=400/>
完整的攻击文章,从导出探测到可控之后尝试读取内网再读取内网文件,但亮点是正常是通过iframe标签但这里使用的JS代码读取,之后读取的文件内容会导出到PDF
XSS到任意文件读取
导出PDF通过请求file协议读取文件,javascript将在服务器端执行，通过注入以下 代码从文件系统进行文件的读取
<script>x=new XMLHttpRequest;x.onload=function(){document.write(this.responseText)};x.open('GET','file:///etc/passwd');x.send();</script>
绕过
当一些特殊标签比如
评论