目录穿越
目录穿越概念
目录穿越(Directory Traversal)攻击是黑客能够在Web应用程序所在的根目录以外的文件夹上，任意地存取被限制的文件夹、执行命令或查找数据。目录穿越攻击，也有人称为Path Traversal攻击。
目录穿越的漏洞危害
攻击者可以使用目录穿越攻击来查找、执行或存取Web应用程序所在的根目录以外的文件夹。如果目录穿越攻击成功，黑客就可以执行破坏性的命令来攻击网站
目录穿越修复方案
- 在URL内不要使用文件名称作为参数
- 检查使用者输入的文件名是否有“…”的目录阶层字符
- 在PHP.ini文件中设置open_basedir来指定文件的目录
- 使用realpath函数来展开文件路径中的“./”、 “…/”等字符，然后返回绝对路径名称
- 使用basename函数来返回不包含路径的文件名称