一个网站，如果网站目录权限设置的不严格，很可能导致黑客绕过路径限制进入系统中的其他目录，对于一些有在线编辑和管理文件功能的网站，这种危害会被放大，攻击者可以轻松的编辑一个网页木马程序从而轻易的掌握整个服务器。
对于此类攻击，一方面在程序上应该严格测试，另一方面应该在服务器目录权限上下功夫，禁止web匿名用户访问网站目录以外的地方。
其次可以利用WAF类产品进行严格的path访问限制或业务访问逻辑，从而避免危害。下面是一个path bypass攻击示例。
1.该网站具有在线文件编辑功能，仔细分析器URI，发现系统是根据URI中的参数传递path ，则可以通过构造特殊的path参数实现对其他网站目录的访问
2.截取request请求 
3构造新的request
4 结果，网页已经显示的是别的网站下的文件内容
这样就可以轻松的注入木马文件了。
www.myf5.net原创，转载请注明
文章评论