一个漏洞引发的思考

Delina

原文链接：一个漏洞引发的思考
​
在平时的空闲时间里面，相信很多人比较喜欢收集各个漏洞的利用方法，我也不例外，最近看到了天策安全的一篇好视通视频会议的任意文件下载，文章地址https://mp.weixin.qq.com/s/aDmDt3eH2W3KDulFaVzWMw
然后想着自己尝试寻找挖掘任意文件下载的思路
在一天摸鱼中用fofa想搜索一些网络设备查看是否有漏洞，无意中找到某个系统，打开界面这样

​

本能的尝试两个弱口令，发现错一次就出现验证码

​

然后查看前端源代码，发现有图片的链接

​

点击第一个logo.png图片链接想查看一下，但是发现提示下载

​

从好视通的任意文件下载来看这种地方容易出现任意文件下载或者任意文件读取
然后尝试把logo.png换为passwd路径，发现成功读取了

​

此漏洞已经提交并且通过

​

在此留下个人一个思考的问题，请各位大佬如果知道的可以讲解一下
此漏洞通过burp发包能正常查看password文件，但是在url地址栏通过../尝试跳跃目录却无法查看，这是为什么呢？
最后，从此漏洞中我也有一些其他思考：
1. 当在渗透测试过程中遇到查看logo文件出现下载的情况时，是否也可以通过这种思路尝试发现任意文件读取呢？
2. 当在遇到其他地方可以下载文件的时候，是否可以尝试查看传参，通过修改传入的参数达到任意文件下载或者任意文件读取呢？
3. 当发现某个页面通过url传文件名来显示的时候，是否可以修改传入的文件名或路径来达到任意文件读取呢？
获得的经验：
1. 平时渗透测试中需要修改数据包时最好在burp中发包
2. 在漏洞挖掘上需要多总结漏洞发掘的思路
3. 查看前端源代码说不定能发现一些有用的信息
最后说明，本人目前只懂一些皮毛，还在学习中，请各位大佬多包容，
​