# 路径遍历反模式 **严重性：** 高 ## 总结攻击者通过操纵文件路径中的用户输入来读取或写入预期目录之外的文件。使用诸如“../”之类的序列而不进行验证，允许向上导航目录树以访问“/etc/passwd”、源代码或凭据。 ## 反模式反模式是将用户输入连接到文件路径中，而不验证目录遍历字符。 ### 错误代码示例 # 漏洞：用户输入直接连接到基本路径。来自烧瓶导入请求导入操作系统 BASE_DIR =“/var/www/uploads/” @app.route(“/文件/视图”) def view_file(): # 来自请求的文件名，未经验证。文件名 = request.args.get("文件名") # 用户输入与基本目录连接。 # 没有路径遍历验证。 file_path = os.path.join(BASE_DIR, 文件名) # 攻击：/files/view?filename=../../../../etc/passwd # 结果：/var/www/uploads/../../../../etc/passwd # 解析为：/etc/passwd # 读取并返回系统密码文件。尝试：将 open(file_path, 'r') 作为 f：返回 f.read() 除了文件未找到错误：返回“找不到文件。”，404 ### 好的代码示例 # 安全：验证输入并规范化路径。来自烧瓶导入请求导入操作系统 BASE_DIR =“/var/www/uploads/” @app.route(“/files/view/secure”) def view_file_secure(): 文件名 = request.args.get("文件名") # 1. 基本验证：检查是否存在恶意字符。如果文件名中包含“..”或 filename.startswith("/")：返回“无效的文件名。”，400 # 2.构建完整路径。 file_path = os.path.join(BASE_DIR, 文件名) # 3. 规范化：解析符号链接和 `../` 序列。 # 最关键的一步。 real_path = os.path.realpath(file_path) real_base_dir = os.path.realpath(BASE_DIR) # 4. 确保在预期的基本目录中解析路径。如果不是 real_path.startswith(real_base_dir + os.sep): return “访问被拒绝：路径超出允许的目录。”, 403 # 安全访问文件。尝试：将 open(real_path, 'r') 作为 f：返回 f.read() 除了文件未找到错误：返回“找不到文件。”，404 ## 检测 * **跟踪用户输入：** 遵循文件操作中使用的任何用户控制的输入（来自请求参数、正文、标头等）。 * **查找路径连接：** 搜索连接或连接字符串以形成文件路径的函数（例如，字符串上的 `os.path.join`、`+`）。 * **检查是否缺少验证：** 验证在使用之前是否检查输入的路径遍历序列（`../`、`..\`）。由于诸如“....//”之类的潜在绕过，对“../”进行简单的搜索和替换是不够的。 * **确保路径规范化：** 最重要的检查是查看应用程序是否将最终路径解析为其绝对、规范形式，然后验证它是否仍在预期的基目录中。 ## 预防 * **永远不要信任用户输入：** 不要信任用户在文件路径构造中提供的数据。 * **验证输入：** 使用已知良好文件名的严格白名单。否则禁止路径遍历序列。 * **规范化路径：** 使用 `os.path.realpath()` (Python)、`File.getCanonicalPath()` (Java) 解析为绝对形式。 * **验证最终路径：** 规范化后，确保路径以预期的基目录开头。最可靠的预防。 * **使用间接引用：** 使用 ID 或索引而不是文件名。用户从不直接控制文件路径。 ## 相关安全模式和反模式 * [缺少输入验证反模式]()：路径遍历是缺少输入验证的一个特定的、高影响力的结果。 * [无限制文件上传反模式]()：攻击者可能使用路径遍历将恶意文件（如 Web shell）写入服务器上的可执行目录。 * [命令注入反模式]()：路径遍历可以与命令注入结合使用，从意外的位置执行程序。 ## 参考文献 * [OWASP Top 10 A05:2025 - 注入]() * [OWASP GenAI LLM07:2025 - 系统提示泄漏]() * [OWASP API 安全 API1:2023 - 损坏的对象级授权]() * [OWASP 路径遍历]() * [CWE-22：对受限制目录的路径名的不正确限制（“路径遍历”）]() * [CAPEC-126：路径遍历]() * [PortSwigger：文件路径遍历]() * 来源：[sec-context]()

路径遍历反模式

包含技能