文件下载问题，万恶的360浏览器，看看有没有人碰到过，是怎么解决的

Question

大力给你客户灌输远离360 XXX管家 毒霸思想

Answer 1

<a href='124.rar'>下载</a>
或者重做系统

Answer 2

你说的权限是有权限下载吧..也可以这样做啊 比如
<a href='#' file='abs130.avi' onclick='down()'>下载</a>function down()
{
 $post(xxxx.ashx?file=abs130,function(data){
   eval(data);
  });
}那么你在ashx可以这样写var file=request["file"];
//取用户,判断是否有下载权限
if(有)
write("location.href='abs130.avi'");
else
write('alert('你没权限')');
这样就可以了...

Answer 3

啊呀，你这个是不行滴，你这个方法是会被绕过滴，你这个方法只能拿来忽悠忽悠那些啥也不懂滴小白，是不能用滴，你这个文件必须放在Web目录下，别人只要猜出文件的存放地址直接在地址栏里输入你这个权限的验证就全成摆设了

Answer 4

LZ你真逗呀...我那只是 一个Demo而已...<a href='#' file='1' onclick='down()'>下载</a>
这file明显是我自定义的 难道我不能给文件ID吗..难道你通过一个数字1 就能知道我数据库文件的url?如果地址能随便猜到 csdn下载也随便不需要积分 也不需要登陆了...

Answer 5

你的意思是CSDN就是这么做的？那我只能呵呵了

Answer 6

当然我没有说 csdn是这样做 你不是说
我们来做个假设
 有一个csdn资源 地址如下http://download.csdn.net/download/xiebaoyou/7423161
  当然我们知道了他的id是7423161 但是你确定你能猜到他的下载地址是
http://dlwt.csdn.net/fd.php?i=900774231615427&s=8097fde864ffbf25b2e3af1050b99b77然后我说的东西也一样啊 把ID传过去 后台查询真实地址而已.我想说的很明白不知道你为什么听不懂.. 还"呵呵" 你是来秀下限的?

Answer 7

http://download.csdn.net/download/xiebaoyou/7423161 和 http://dlwt.csdn.net/fd.php?i=900774231615427&s=8097fde864ffbf25b2e3af1050b99b77不过是个URLRewrite而已。至于http://dlwt.csdn.net/fd.php?i=900774231615427&s=8097fde864ffbf25b2e3af1050b99b77 里面是通过类似Response.OutputStream这样的方法输出还是通过你说的类似location.href='abs130.avi这样重定向文件真实地址的方法我不想知道也没兴趣。你所想要表达的意思我很明白，我只是想告诉你你在10楼所表达的方法只能用来忽悠忽悠小白（看来现在恐怕还得包括你自己）没啥大用，不管你在<a href='#' file='1' onclick='down()'>下载</a>这里放的是id或者文件名或者其它任何东西，最终只要你是通过("location.href='abs130.avi'");这样的方式重定向到文件真实地址那别人就存在绕开你的权限认证直接通过http://xxx/xxx/xxx/abs123.avi这样的地址进行访问的可能，至于别人是如何找出这个地址的那是别人的智慧不是我关心的问题，如果你所谓的权限保护啥的就是寄希望于别人找不出你文件的真实地址，那我除了呵呵以外还能说什么呢，你要认为我是秀下限那你就当我是秀下限的吧。

Answer 8

顺便再发一篇别人是怎么猜文件地址的文章地址：http://www.wooyun.org/bugs/wooyun-2010-09202漏洞详情
披露状态：
2012-07-04： 细节已通知厂商并且等待厂商处理中
2012-07-04： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
完美时空某分站短文件名泄露，配合字典可以更高效率的扫出敏感文件或目录
详细说明：
完美时空某分站存在短文件名泄露，首先判断漏洞是否存在，找一个存在的文件http://perfectrisingstar.wanmei.com/Views/findpwd.aspx,利用通配符加短标签构造出http://perfectrisingstar.wanmei.com/Views/fa*~1*/.aspx访问这个地址IIS会返回给我们一个错误，大多数是bad request错误说明不存在fa开头的文件或目录，构造http://perfectrisingstar.wanmei.com/Views/fi*~1*/.aspx返回404，说明存在以fi开头的文件，利用这个特性我们仅需要对每一位循环遍历26个字母就可以获取文件短文件名称，由于短文件名的规律为前6个字符+~1-9+扩展名前三位，我们可以根据短文件名结果推测或配合字典暴力猜测文件全名，测试后缀名构造http://perfectrisingstar.wanmei.com/Views/findpw~1.*/.aspx即可有些扩展名为2个字符，我们可以用http://perfectrisingstar.wanmei.com/Views/findpw~1.%3f%3f/.aspx单独位匹配测试这里返回错误，所以后缀不是两个字符
知道了原理利用poc测试，跑出以下结果漏洞证明：修复方案：
升级.Net Framework到4版本
版权声明：转载请注明来源 HRay@乌云