記一次任意文件下載漏洞思路(jeesite框架)

1、測試某個系統的文件下載的接口，看到下載接口的參數爲url，參數值是文件的絕對路徑，實測發現存在任意文件下載的漏洞。   post包如下: GET /xxxx/oaNotify/downLoadFile?fileUrl=xxxxxx.pdf HTTP/1.1 Host:xxxx.com User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; r

>>阅读原文<<