在阿里云部署的kkfileview，阿里云安全性扫描有漏洞
网络流量内容GET /getCorsFile?urlPath=file:///etc/passwd HTTP/1.1
Host: XXX.XXX.XXXX.XXX:80XX
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/66.6.2333.33 Safari/537.36 AliyunTaiShiGanZhi https://www.aliyun.com/product/sas
Accept-Encoding: gzip, deflate
Accept: /
Connection: keep-alive
Accept-Language: zh-CN,zh;q=0.8
网络流量内容HTTP/1.1 200 OK
Date: Wed, 29 Mar 2023 19:45:23 GMT
Content-Length: 1044
root❌0:0:root:/root:/bin/bash bin❌1:1:bin:/bin:/sbin/nologin daemon❌2:2:daemon:/sbin:/sbin/nologin adm❌3:4:adm:/var/adm:/sbin/nologin lp❌4:7:lp:/var/spool/lpd:/sbin/nologin sync❌5:0:sync:/sbin:/bin/sync shutdown❌6:0:shutdown:/sbin:/sbin/shutdown halt❌7:0:halt:/sbin:/sbin/halt mail❌8:12:mail:/var/spool/mail:/sbin/nologin operator❌11:0:operator:/root:/sbin/nologin games❌12💯games:/usr/games:/sbin/nologin ftp❌14:50:FTP User:/var/ftp:/sbin/nologin nobody❌99:99:Nobody:/:/sbin/nologin systemd-network❌192:192:systemd Network Management:/:/sbin/nologin dbus❌81:81:System message bus:/:/sbin/nologin polkitd❌999:998:User for polkitd:/:/sbin/nologin sshd❌74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin postfix❌89:89::/var/spool/postfix:/sbin/nologin
原因：
该风险是因为v4.0.0 getCorsFile 接口可以访问任一系统文件，例如 getCorsFile?urlPath=file:///etc/passwd ，例如
解决方法：
因为我们走nginx域名解析，所以可以在nginx直接禁止此接口
已通过nginx 禁止此接口文章来源：https://www.toymoban.com/news/detail-419186.html
location ^~/getCorsFile {
return 403;
}
如果直接访问不走nginx的话，可以删除此接口文章来源地址https://www.toymoban.com/news/detail-419186.html
到了这里，关于kkfileview阿里云安全扫描：威胁类型敏感信息回显 (Sensitive Information Response)的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！
