Windows

C:\boot.ini //查看系统版本
C:\Windows\System32\inetsrv\MetaBase.xml //IIS配置文件
C:\Windows\repair\sam //存储系统初次安装的密码
C:\Program Files\mysql\my.ini //Mysql配置
C:\Program Files\mysql\data\mysql\user.MYD //Mysql root
C:\Windows\php.ini //php配置信息
C:\Windows\my.ini //Mysql配置信息
C:\Windows\win.ini//Windows系统的一个基本系统配置文件

Linux

/root/.ssh/authorized_keys
/root/.ssh/id_rsa
/root/.ssh/id_ras.keystore
/root/.ssh/known_hosts //记录每个访问计算机用户的公钥
/etc/passwd
/etc/shadow
/etc/my.cnf //mysql配置文件
/etc/httpd/conf/httpd.conf //apache配置文件
/root/.bash_history //用户历史命令记录文件
/root/.mysql_history //mysql历史命令记录文件
/proc/self/fd/fd[0-9]*(文件标识符)
/proc/mounts //记录系统挂载设备
/porc/config.gz //内核配置文件
/etc/issue
/proc/version
/etc/redhat-release 
/etc/debian_version
/etc/slackware_version
/etc/*version
/proc/cpuinfo
/var/lib/mlocate/mlocate.db //全文件路径
/porc/self/cmdline //当前进程的cmdline参数

SSH
/root/.ssh/id_rsa
/root/.ssh/id_rsa.pub
/root/.ssh/authorized_keys
/etc/ssh/sshd_config
/var/log/secure

Nginx
/etc/nginx/nginx.conf
/var/www/html
/usr/local /services/nginx-1.6.2/logs/access.log
/usr/local /services/nginx-1.6.2/logs/error.log
/usr/local /services/nginx-1.6.2/nginx.conf
/usr/local /services/nginx-1.6.2/conf/nginx.conf
/usr/local /services/nginx-1.6.2/conf/proxy.conf
/usr/local /services/nginx-1.6.2/conf/extra/haolaiyao.conf

Jetty
/usr/local/services/jetty-8.1.16/
/usr/local/services/jetty-8.1.16/logs/stderrout.log
/usr/local/services/jetty-8.1.16/etc/jetty.xml

Resin
/usr/local/services/resin-4.0.44/
/usr/local/services/resin-4.0.44/conf/resin.xml
/usr/local/services/resin-4.0.44/conf/resin.properties

Tomcat
/usr/local/services/apache-tomcat-8.0.23/logs
/usr/local/services/apache-tomcat-8.0.23/logs/catalina.out

SVN
/home/svnroot/

任意文件读取的利用思路

有些文件需要高权限才能读取

1. /etc/passwd # 用户情况
2. /etc/shadow # 直接 John the Ripper
3. /etc/hosts # 主机信息
4. /root/.bashrc # 环境变量
5. /root/.bash_history # 还有root外的其他用户
6. /root/.viminfo # vim 信息
7. /root/.ssh/id_rsa # 拿私钥直接ssh
8. /proc/xxxx/cmdline # 进程状态枚举 xxxx 可以为0000-9999 使用burpsuite
9. 数据库 config 文件
10. web 日志 access.log, error.log
11. ssh 日志
12. /var/lib/php/sess_PHPSESSID # 非常规问题 session 文件( 参考 平安科技的一道session包含 http://www.jianshu.com/p/2c24ea34566b)

进一步推断系统版本

uname -a
lsb_release -d
cat /etc/issue
cat /proc/version
cat /etc/redhat-release
cat /etc/debian_version
cat /etc/slackware_version
ls /etc/* version
cat /proc/cpuinfo

利用条件

• 存在读文件的函数
• 读取文件的路径用户可控且未校验或校验不严
• 输出了文件内容

危害

• 下载服务器任意文件，如脚本代码、服务及系统配置文件等
• 可用得到的代码进一步代码审计，得到更多可利用漏洞

利用思路

• 下载常规的配置文件，例如: ssh,weblogic,ftp,mysql等相关配置
• 下载各种.log文件，从中寻找一些后台地址，文件上传点之类的地方，如果运气好的话会获得一些前辈们的后门。
• 下载web业务文件进行白盒审计，利用漏洞进一步攻入服务器。
• 可以利用linux内核的一个文件/proc/self/cmdline当前进程的cmdline参数，可以获取到路径信息。
• 利用任意文件下载漏洞将mlocate.db文件下载下来，利用locate命令将数据输出成文件，这里面包含了全部的文件路径信息。
  • locate 读取方法
  • locate mlocate.db admin，可以将mlocate.db中包含admin内容全部输出来，利用这个文件我们可以获取到该服务器任何我们想要的内容并下载出来而不用一个一个去猜解目录，但是这个文件只有root用户才能读取。

修复方案

• 过滤.(点)，使用户在url中不能回溯上级目录
• 正则严格判断用户输入参数的格式
• php.ini配置open_basedir限定文件访问范围