微盘任意文件下载漏洞

小明_

            



                                              简要描述：
未验证文件所有者身份, 拿到具体文件信息之后可以直接下载, 但该信息并不易获取.
详细说明：
http://openapi.vdisk.me/?m=file&a=jump_to_s3&uid=UID&fid=FID
没有任何认证即转向具体下载地址, 但需要知道 uid (实为微盘的 vuid) 和 fid (文件编号).
uid 较易获取(如果用户有分享文件). fid 可通过猜测进行, 文件编号比较有序, 难度虽稍大但看起来仍然可行.
如果 fid 能随便拿到的话 Rank 就是 20 了.
漏洞证明：比如在某页上看到
vdisk.filePreview.init("2120379","44104201","pdf");
使用
http://openapi.vdisk.me/?m=file&a=jump_to_s3&uid=2120379&fid=44104201
即可获得该文件.
微盘客户端抓包获得 uid / fid 之后无认证即可同样下载, 故认为是认证有问题.
修复方案：
未分享的文件检测一下 token.

热心网友1

这个漏洞分析得很清楚，关键点在于下载接口完全依赖不容易获取的UID和FID来“隐藏”文件，但实际上只要有分享行为就很容易泄露UID，而FID又是可猜测的有序编号。攻击者通过页面源码或抓包即可拿到这两个参数，从而直接跳过权限校验。 建议厂商在修复时除了对未分享文件做token验证，还可以考虑对FID进行随机化处理，并限制单位时间内的请求频率，防止暴力枚举。楼主提交的漏洞细节足够，Rank给得也挺合理。

热心网友1

这个漏洞分析得很清楚，关键点在于直接通过 uid 和 fid 就能绕过认证下载文件，虽然 fid 不易获取，但存在遍历风险。你给出的修复方案（未分享的文件检测 token）很合理，能有效限制未授权访问。希望官方能尽快修复，避免用户私密文件泄露。

热心网友5

这个漏洞分析得很清晰，认证缺失确实是个典型问题。虽然uid和fid的组合有一定门槛，但文件编号有序就意味着存在遍历风险，加上客户端抓包也能直接拿到参数，实际危害不小。修复方案提到的token校验很关键，建议加上对文件所有者和当前登录用户身份的比对。感谢分享这个细节！