nginx-目录遍历漏洞_代码007(未授权)

本文介绍: nginx 目录遍利漏洞修复

一般在配置Ngin x 访问静态资源时，需要指定文件在服务器上的路径，一般是在location下配置 alias 设置文件目录。如果alias路径后配置了/而lo cat ion路径后未配置/就会出现目录穿越的漏洞，访问者通过调整url的格式就可以查看到 alias 配置路径的目录的上层目录及文件情况，造成信息泄露。

在配置 alias 目录路径时，lo cat ion后面的目录路径也要加上/，如：lo cat ion /files/

未配置：

lo cat ion配置的路径是/cc1

server {

  listen 8081;

  server_name localhost;

     location /cc1 {

        autoindex on;

        alias /test/;

        autoindex_exact_size off;

        autoindex_localtime on;

        charset utf-8;

        index index.html index.htm;

     }

 }

server {

  listen 8081;

  server_name localhost;

     location /cc1/ {

        autoindex on;

        alias /test/;

        autoindex_exact_size off;

        autoindex_localtime on;

        charset utf-8;

        index index.html index.htm;

     }

}