一.下载原理和案列演示
1.不安全的文件下载概述
文件下载功能在很多web系统上都会出现，一般我们当点击下载链接，便会向后台发送一个下载请求，一般这个请求会包含一个需要下载的文件名称，后台在收到请求后 会开始执行下载代码，将该文件名对应的文件response给浏览器，从而完成下载。 如果后台在收到请求的文件名后,将其直接拼进下载文件的路径中而不对其进行安全判断的话，则可能会引发不安全的文件下载漏洞。
此时如果 攻击者提交的不是一个程序预期的的文件名，而是一个精心构造的路径(比如../../../etc/passwd),则很有可能会直接将该指定的文件下载下来。 从而导致后台敏感信息(密码文件、源代码等)被下载。
所以，在设计文件下载功能时，如果下载的目标文件是由前端传进来的，则一定要对传进来的文件进行安全考虑。 切记：所有与前端交互的数据都是不安全的，不能掉以轻心！
2.操作
在pikachu靶场中，可以通过点击图片下的名字下载图片，复制链接到一个新的标签页打开
我们通过浏览器的URL可以知道，这和本地文件包含一样的，通过get请求发送到后台，后台会根据提交的filename内容查找文件，然后读取后再响应输出到前端，浏览器就可以下载文件了
http://127.0.0.1:89/pikachu/vul/unsafedownload/execdownload.php?filename=kb.png
接下来我们可以像本地文件包含一样去通过目录遍历进行测试,可以输入多个“../”这样可以跳到根目录来寻找对应的文件进行下载，对应的URL如下。
http://127.0.0.1:89/pikachu/vul/unsafedownload/execdownload.php?filename=../../../../../../../../../../Windows/System32/drivers/etc/hosts
得到hosts文件
我们可以看一下后端代码
首先获取这个文件名然后直接拼接到download目录下，但是没有做任何处理，获取文件后台进行读取，然后计算他的长度，
然后放到Header响应回来，最后循环读取文件字节流后返回到前端。最根本的原因就是后台没有对传进来的参数进行判断，然后就直接读取了。
二.文件上传绕过
1.概述
文件上传功能在web应用系统很常见，比如很多网站注册的时候需要上传头像、上传附件等等。当用户点击上传按钮后，后台会对上传的文件进行判断 比如是否是指定的类型、后缀名、大小等等，然后将其按照设计的格式进行重命名后存储在指定的目录。 如果说后台对上传的文件没有进行任何的安全判断或者判断条件不够严谨，则攻击着可能会上传一些恶意的文件，比如一句话木马，从而导致后台服务器被webshell。
所以，在设计文件上传功能时，一定要对传进来的文件进行严格的安全考虑。比如：
--验证文件类型、后缀名、大小;
--验证文件的上传方式;
--对文件进行一定复杂的重命名;
--不要暴露文件上传后的路径;
2.操作
在靶场中随意提交一个文件，会显示文件不符合要求。
我们点击看一下页面源码，可以看到它是通过JavaScript来对前端进行限制，只允许上传"jpg","png","gif"三种类型的文件。如果上传的文件不是图片的格式就不能上传，但所有在前端进行的操作只能起到辅助性的作用并不能起到实际性的作用，这是很容易绕过的！
我们可以打开web开发者将onchange的值checkFileExt(this.value)删掉，进行绕过，上传我们想要上传的文件。
可以看出来我们已经上传成功
访问http://127.0.0.1:89/pikachu/vul/unsafeupload/uploads/system.php?x=ifconfig就会被执行。
其实在实际操作当中我们可以通过在PHP文件里面写自己的木马，通过猜测上传路径来执行该木马，当然在这个案例前端已经告诉我们上传文件路径。实际
操作当中不会告诉我们的，这个需要我们自己猜测。
三.文件上传（MIME type）
MINE概述
MIIME(Multipurpose Internet Mail Extensions)多用途互联网邮件扩展类型。是设定某种扩展名的文件用一种应用程序来打开的方式类型，当该扩 展名文件被访问的时候，浏览器会自动使用指定应用程序来打开。多用于指定一些客户端自定义的文件名，以及一些媒体文件打开方式。每个MIME类型由两部分组成，前面是数据的大类别，例如声音audio、图象image等，后面定义具体的种类。常见的MIME类型，比如:
超文本标记语言文本.html,.html texthtml
普通文本.txt text/plain
RTF文本.rtf application/rtf
GIF图形.gif image/gif
JPEG图形.ipeg,jpg image/jpeg
我们来分析一下MINE相关源码
可以看到它定义了三个都是图片格式的类型，然后它会对前端上传的文件调用upload_sick函数去检查，在upload_sick中，它有用$_FILES函数去判断验证是否发生错误，如果发生错误就会弹出相关的信息。
在pikachu靶场中上传一张正常的图片显示上传成功，而上传php文件则显示上传失败，只能上传图片文件格式！
打开burp suite抓包工具，查看上传成功与上传不成功包。我们可以看到上传成功的Content-Type是image/png类型,没有上传成功的Content-Type是 application/octet-stream类型
接下来我们可以把上传失败的包发送到Repeater并且把Content-Type修改成image/png类型
四.文件上传（getimagesize）
概述
Getimagesize ( )函数返回结果中有文件大小和文件类型,如果用这个函数来获取类型，从而判断是否是图片的话,会存在问题。因为图片头是可以被伪造的，所以可以绕过限制。
在pikachu对应的靶场上传文件的后缀名不能为空，且必须是jpg,jpeg,png中的一个。即图片格式 。
我们可以通过图片和木马文件，来制作图片木马，从而绕过限制。
准备一张正常的图片和木马文件
在Windows系统中，可以通过cmd来生成图片马，在cmd中输入以下代码从而生成图片马(注：cmd在输入生成图片木马代码前，要先跳转到图片和木马文件保存的目录下)
copy /b kb.png + phpinfo.php muma.png
回到pikachu靶场，上传生成的图片木马，能看得到成功上传后保存的路径
在浏览器URL输入图片的路径，可以看到浏览器显示这张图片，但图片里面的代码并没有执行！
这时候我们可以通过文件包含漏洞来利用这个图片木马，因为include函数会包含上传的文件执行任意代码，我们可以利用它的这个漏洞执行木马。
在本地文件包含中，选择一项点击提交，把URL中的filename的值修改为图片木马的路径(前面的“../”可以一个一个的加进去试)
../../unsafeupload/uploads/2020/09/28/9594485f71d686bf203158422039.png
提交后，可以看到图片木马里面的代码被执行了，获取了后台php版本信息
五、防范措施
不要在前端使用JS实施上传限制策略
通过服务端对上传文件进行限制：
进行多条件组合检查：比如文件的大小、路径、扩展名、文件类型、文件完整性
对上传的文件在服务器上存储时进行重命名(制定合理的命名规则)
对服务器端上传文件的目录进行权限控制(比如只读) ,，限制执行权限带来的危害