案例背景

某免費個人主頁空間限制較多：單檔 1.5MB、總容量 30MB、不支援 ASP。作者嘗試突破限制，發現伺服器開放 139、80、1433、3389 等埠，決定從 Web 層面入手。

漏洞利用過程

路徑遍歷突破

系統採用 PHP 管理，參數 file 未過濾特殊字元。攻擊者將資料夾名從 rich4 改為 /.、/../..，成功遍歷至硬碟根目錄，發現備份目錄下的 global.asa，其中包含 MSSQL SA 帳密。

後續滲透

• 取得 SA 帳密後，利用 xp_cmdshell 執行系統指令。
• 結合 3389 遠端桌面或其他方式進一步控制主機。

配置錯誤成因

1. 輸入驗證缺失：PHP 系統未過濾 /、. 等路徑遍歷字元。
2. 敏感檔案備份不當：ASP 後台管理系統的備份檔 (global.asa) 放置於可公開存取的 F 槽目錄。
3. 資料庫高風險設定：SA 帳號允許遠端連線，且保留 xp_cmdshell。
4. 權限隔離不足：雖作業系統、IIS、網站內容分盤，但備份檔跨越邊界導致洩露。

防禦對策

• 嚴格輸入驗證：所有使用者輸入的路徑參數需標準化並限制在 Web 根目錄下；使用 realpath() 檢查。
• 敏感資訊隔離：設定檔、備份檔、資料庫憑證不可置於 Web 可存取目錄；備份應加密並存放於獨立儲存區。
• 資料庫強化：停用 SA 遠端登入；移除/禁用 xp_cmdshell；使用低權限應用程式帳號。
• 最小權限原則：Web 執行身分僅具讀取靜態資源權限；上傳目錄不可執行腳本。
• 定期滲透測試：針對路徑遍歷、備份洩露、資料庫配置等進行自動化與人工測試。

結語

看似嚴格的空間限制，因單一參數驗證疏失導致全盤皆輸。防禦需從程式碼、部署架構、資料庫設定多層面著手，方能構建纖深防禦體系。