一、漏洞概述

路径遍历（又称目录穿越，Path Traversal，CWE-22）为 OWASP Top 10 持续上榜的高危通用漏洞。
本次安全测试中，被测目标 Web 应用静态资源接口存在严重路径遍历漏洞。攻击者无需任何权限，仅通过在请求 URL 中构造../目录回溯字符，即可突破应用目录访问限制，非法读取服务器操作系统任意本地文件。
本次测试已成功利用该漏洞，完整读取 Linux 系统核心敏感文件/etc/passwd，漏洞可稳定复现，危害影响范围极大，需立即紧急整改。

二、漏洞详情与验证过程

2.1 漏洞触发点

漏洞存在于目标站点 /static 静态文件访问路由，后端未对用户可控的文件路径参数做安全校验。

2.2 漏洞验证请求

GET /static/../../../../../../../../etc/passwd HTTP/2
Host: 18.60.85.6:6686
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.5060.134 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Upgrade-Insecure-Requests: 1

2.3 漏洞验证结果

服务器返回 HTTP/2 200 OK 成功状态码，无任何访问拦截与权限拒绝提示；
响应体完整返回/etc/passwd全部明文内容，成功泄露系统全部账号清单:

root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/usr/bin:/sbin/nologin
rpcuser:x:2:2:rpcuser:/usr/rpcuser:/sbin/nologin
sshd:x:10:10:sshd:/usr/sshd:/sbin/nologin
docker:x:16:16:docker:/usr/docker:/bin/sh
mysql:x:13:13:mysql:/usr/mysql:/sbin/nologin
......

三、漏洞危害与风险评估

核心敏感信息泄露
直接获取服务器全部系统用户名、UID、家目录、登录 Shell 等核心信息，为攻击者弱口令爆破、精准暴力破解提供完整字典。
服务器权限完全沦陷风险
攻击者可进一步遍历读取/etc/shadow、应用源码、数据库配置文件、私钥证书、业务用户隐私数据等，最终实现服务器远程接管、长期非法控制。
业务与合规双重损失
造成全站核心业务数据泄露、篡改、服务中断；
违反《网络安全法》《数据安全法》《个人信息保护法》等监管合规要求，面临行政处罚与法律追责；
造成企业品牌声誉、用户信任不可逆受损。
攻击门槛极低
无前置权限、无复杂绕过，普通攻击者即可批量利用该漏洞，大规模入侵同类资产。

四、漏洞产生根本原因

后端开发未对用户输入的文件路径参数做任何有效性校验与恶意字符过滤，未拦截../、..\以及各类 URL 编码、双重编码的目录穿越 payload；
未做目录安全隔离，未将文件访问范围严格限制在 Web 应用预设的静态资源根目录内；
未采用路径规范化、绝对路径强校验的安全编码方案；
Web 服务运行账号权限过高，最小权限原则未落地。

五、修复加固方案

5.1 代码层紧急修复

输入白名单强校验
仅放行合法业务文件名，禁止../、./、特殊符号等危险字符，同时兼容防御各类编码变形绕过。
路径强制锚定与校验
使用编程语言内置安全 API 解析绝对路径，强制校验目标文件绝对路径，必须处于业务允许的根目录范围内，超出范围直接拒绝访问。
禁用危险功能
删除任意文件读取的动态拼接路径逻辑，静态资源全部采用固定映射、禁止用户可控拼接文件路径。

5.2 中间件与服务器加固

Nginx/Apache 配置目录访问隔离，限制站点目录跨上层目录访问；
配置 Web 服务运行账号为最低权限，禁止 root 等高权限账号运行 Web 应用；
关闭详细错误信息对外泄露，屏蔽服务器敏感版本指纹。
 

5.3 防护与长效运营

上线 WAF 安全防护设备，添加目录遍历攻击专项防护规则；
开展全站代码安全审计，排查同类任意文件读取、文件包含漏洞；
建立定期渗透测试与漏洞复测机制，保障长期安全

六、处置建议与验收要求

漏洞等级：高危，紧急
处置优先级：最高，建议72 小时内完成紧急修复
修复验收标准：
原验证 Payload 不再可以读取任意系统敏感文件；
目录穿越各类变形 Payload 全部失效；
正常合法静态资源访问不受影响；
复测无同类绕过漏洞。

七、总结

该路径遍历漏洞可直接导致服务器核心敏感文件泄露，极易被攻击者进一步利用拿下服务器最高控制权，整体安全风险极高。请运维与开发部门按照本报告修复方案完成整改，整改完成后联系安全测试人员完成复测，彻底消除该安全隐患。