* 不安全的直接對象引用漏洞利用的重點是web開發(fā)中，應(yīng)用代碼訪問文件時沒受到權(quán)限控制
* 不安全的直接對象引用漏洞的技術(shù)重點在于利用有漏洞的web程序讀取文件系統(tǒng)資料
* 不安全的直接對象引用漏洞的方法重點在于未控制應(yīng)用程序的訪問權(quán)限
本文主要介紹不安全的直接對象引用漏洞的過程而不是技術(shù)細節(jié)。 以PHP為例，看以下這個場景：
$filea=$_GET['filename'];
echo “<a href=".$filea."> 下載此鏈接 </a>";
如果惡意用戶對之加以利用，就可能可以使用如下方式下載用戶主機上其他的文件
http://www.demo.com/downlist.php?filename=c:/boot.ini
解決此問題的方法是必須控制web應(yīng)用程序?qū)ξ募脑L問。