目录遍历漏洞危害
一个不起眼的目录“点”字，有时就能让整个服务器门户大开。遍历去年某政务网站的漏洞安全测试中，工程师在URL末尾加上..%2f..%2fetc%2fpasswd，危害浏览器直接吐出了Linux系统的目录用户列表。这不是遍历科幻片，这是漏洞目录遍历漏洞最直白的表演——攻击者通过操纵文件路径中的“..”序列，就能跳出Web根目录的危害牢笼，在服务器文件系统里裸奔。目录
这漏洞的遍历可怕之处在于它的“朴素”。不需要花哨的漏洞注入技巧，不必猜解密钥，危害仅仅利用系统对路径解析的目录宽容，就能把../../../../etc/shadow变成一把万能钥匙。遍历我见过最离谱的漏洞案例，是某电商平台把订单备份文件放在/var/backups/下，而Web服务恰好以root权限运行。攻击者只是不断尝试../的层数，就下载了三年份的用户收货地址与支付记录。那些数据在黑市按条计价，每条五毛钱。
危害分三个层级，像剥洋葱一样层层见血。最浅层是信息泄露——配置文件里躺着数据库密码、API密钥、云存储凭证，拿到这些就等于拿到了服务器的“房产证”。中层是越权操作，攻击者可能直接读取/proc/self/environ获取环境变量，甚至改写临时文件来提权。最深层则是彻底的沦陷——配合上传功能，攻击者能把Webshell写到可执行目录，从此服务器变成肉鸡，被拿去发垃圾邮件、挖矿或作为跳板攻击内网。有个真实案例：某学校的选课系统因这个漏洞被植入后门，导致整个教务系统瘫痪三天，学生成绩单被加密勒索。
为什么这漏洞至今仍遍地开花？根源在于开发者对用户输入的无条件信任。很多人写代码时默认“路径就是路径”，却没想过../这种“越狱”符号会被拼接到文件系统操作函数里。更糟的是，某些框架的静态文件服务功能自带路径拼接逻辑，开发者图省事直接复用，等于亲手给攻击者递上了撬棍。
防御手段其实不复杂。最有效的是白名单校验——只允许特定文件名或文件名模式，拒绝一切包含..或绝对路径的请求。其次是使用语言内置的安全API，比如Python的os.path.realpath()来规范化路径后验证前缀。还有一招容易被忽略：Web服务器运行账户务必使用低权限专用账号，别用root或Administrator跑业务。即便被穿透目录，攻击者看到的也只是一间上锁的空房间。
这漏洞让我想起老式防盗门——锁芯再复杂，只要钥匙孔设计有缺陷，一张硬纸板就能捅开。技术债终归要还，与其事后打补丁，不如在写第一行路径处理代码时就多问一句：“如果这里被塞进../会怎样？”这问题不贵，但能救命。