漏洞分类及判定方法
漏洞知识选择题
漏洞知识选择题（实用版）目录1.漏洞知识选择题的概述2.漏洞的定义和分类3.漏洞产生的原因和危害4.如何发现和利用漏洞5.漏洞知识选择题的解答方法正文1.漏洞知识选择题的概述漏洞知识选择题是一种测试计算机安全知识的题型，旨在帮助学生了解各种漏洞的原理、危害和应对方法。
这类题目通常以选择题的形式出现，要求学生根据提供的情景和选项，判断哪些是漏洞，哪些不是，以及它们的危害程度和利用方法等。
2.漏洞的定义和分类漏洞，又称安全漏洞，是指计算机系统、软件或网络中存在的可以被恶意利用的缺陷或弱点。
根据漏洞的性质和影响范围，可以分为以下几类：（1）系统漏洞：指操作系统、网络协议等系统层面存在的安全问题，可能导致恶意代码执行、权限提升等危害。
（2）软件漏洞：指应用程序或服务程序中存在的安全问题，可能导致信息泄露、服务拒绝等风险。
（3）网络漏洞：指网络设备、协议或配置等方面存在的安全问题，可能导致数据包篡改、网络服务中断等影响。
3.漏洞产生的原因和危害漏洞产生的原因主要有以下几点：（1）设计不足：开发者在编写代码时，未充分考虑安全因素，导致潜在的安全漏洞。
（2）编程错误：开发者在编写代码时，出现逻辑错误、语法错误等问题，可能被恶意利用。
（3）使用弱口令或默认配置：设备或软件使用弱口令或默认配置，容易被攻击者破解或利用。
漏洞的危害主要包括以下几点：（1）信息泄露：漏洞可能导致敏感信息被恶意获取，造成数据损失或隐私泄露。
（2）权限提升：攻击者利用漏洞可获取系统或服务的更高权限，从而实现对计算机系统的完全控制。
（3）服务拒绝：漏洞可能导致网络服务或应用程序无法正常运行，造成业务中断。
4.如何发现和利用漏洞发现漏洞的方法主要有以下几点：（1）代码审查：通过阅读源代码，发现潜在的安全问题。
（2）漏洞扫描：使用漏洞扫描工具，对计算机系统、软件或网络进行扫描，检测可能存在的安全漏洞。
（3）渗透测试：模拟攻击者的行为，对目标进行安全测试，发现实际存在的漏洞。
常见网络安全漏洞分类
常见网络安全漏洞分类在当今数字化的时代，网络安全成为了至关重要的议题。
各种网络安全漏洞给个人、企业乃至整个社会都带来了巨大的威胁。
了解常见的网络安全漏洞分类，对于我们提高网络安全意识、采取有效的防范措施具有重要意义。
一、软件漏洞软件漏洞是指在软件设计、开发或配置过程中产生的缺陷。
这可能包括操作系统、应用程序、数据库管理系统等各类软件。
1、缓冲区溢出漏洞当程序向缓冲区写入的数据超过其预定长度时，就会发生缓冲区溢出。
这可能导致程序崩溃，甚至允许攻击者执行恶意代码。
比如，一个程序设计时预期接收 100 个字符的输入，但攻击者输入了 200 个字符，超出的部分可能覆盖程序的关键数据或指令。
2、权限提升漏洞某些软件可能存在权限控制不当的问题，使得攻击者能够获取超出其应有的权限。
例如，一个普通用户通过利用漏洞获得了管理员权限，从而可以对系统进行任意操作。
3、输入验证漏洞如果软件没有对用户输入进行充分的验证和过滤，攻击者就可以输入恶意的代码或指令。
比如，在一个网页表单中，攻击者输入了一段恶意的 SQL 语句，从而获取数据库中的敏感信息。
二、操作系统漏洞操作系统作为计算机系统的核心，其漏洞可能带来严重的安全隐患。
1、内核漏洞内核是操作系统的核心部分，内核漏洞可能使攻击者完全控制系统。
例如，通过利用内核漏洞，攻击者可以绕过系统的安全机制，安装恶意软件或窃取敏感数据。
2、服务漏洞操作系统提供的各种服务，如文件共享服务、远程登录服务等，如果存在漏洞，可能被攻击者利用进行非法访问。
3、驱动程序漏洞驱动程序是连接硬件和操作系统的桥梁，有漏洞的驱动程序可能导致系统不稳定，甚至被攻击者用于获取系统控制权。
三、网络协议漏洞网络协议是实现网络通信的规则和标准，其中的漏洞可能被攻击者利用进行网络攻击。
1、 TCP/IP 协议漏洞TCP/IP 协议是互联网的基础协议，但其设计上的一些缺陷可能被攻击者利用。
例如，IP 欺骗攻击就是利用了 IP 协议中对源地址验证的不足。
文件包含漏洞的基本概念
文件包含漏洞的基本概念
、分类、研究动机，以及存在的解决方法。
一、漏洞的基本概念
漏洞（vulnerability）是指由软件易受到的非授权的访问或受影响的途径，任何可让攻击者拥有更多权限，操作系统，搞乱系统，或停止运行服务的软件问题均可被称为漏洞。
二、漏洞分类
漏洞可以根据漏洞引发源分为三类：
1. 物理漏洞：源自物理环境，比如计算机硬件，电力，网络，物理房间和其他系统设施。
2. 逻辑漏洞：源自应用程序的设计和开发的逻辑缺陷，这可以包括：错误的需求分析，漏洞的代码，数据库架构等。
3. 用户行为漏洞：源自用户如何使用某项系统（比如：软件）。
一些用户行为漏洞因此被认为是被“助攻”导致的，它们是由于用户的无视而导致的。
三、研究动机
漏洞的研究意义在于使系统开发者能够明确可能存在的漏洞，并在早期发现漏洞，以及采取针对性的补救措施，从而避免系统的停运，减少损害和经济损失。
四、解决方法
尽管无法完全消除漏洞，但以下是可以避免或消除漏洞的部分措施：
（1）开发时认真编码：在开发过程中，尤其是在编码阶段，需要根据项目的安全策略，采用安全的编码技术。
（2）审查代码：应定期审查产品的发展过程，以发现、改进和修正既有的漏洞。
（3）定期测试：针对应用程序，运行不同测试，及时发现漏洞，以便及早修复。
（4）像素安全设计：像素安全设计可以帮助保护用户免受安全攻击，同时确保具备一定程度的合规性，减少且收紧应用程序的漏洞。
操作系统漏洞有哪几种分类
操作系统漏洞有哪几种分类操作系统漏洞是电脑重要漏洞之一，解决操作系统漏洞能很好提高安全性能，那么漏洞有哪几种分类呢，下面由店铺为大家整理了操作系统漏洞分类的相关知识，希望对大家有帮助。
操作系统漏洞分类不同角度看安全漏洞的分类，对一个特定程序的安全漏洞可以从多方面进行分类。
操作系统漏洞分类1、从作用范围角度看分为●远程漏洞，攻击者可以利用并直接通过网络发起攻击的漏洞。
这类漏洞危害极大，攻击者能随心所欲的通过此漏洞操作他人的电脑。
并且此类漏洞很容易导致蠕虫攻击，在Windows。
●本地漏洞，攻击者必须在本机拥有访问权限前提下才能发起攻击的漏洞。
比较典型的是本地权限提升漏洞，这类漏洞在Unix系统中广泛存在，能让普通用户获得最高管理员权限。
操作系统漏洞分类2、从用户群体分类●大众类软件的漏洞。
如Windows的漏洞、IE的漏洞等等。
●专用软件的漏洞。
如Oracle漏洞、Apache漏洞等等。
操作系统漏洞分类3、从数据角度看分为●能读按理不能读的数据，包括内存中的数据、文件中的数据、用户输入的数据、数据库中的数据、网络上传输的数据等等。
●能把指定的内容写入指定的地方(这个地方包括文件、内存、数据库等)●输入的数据能被执行(包括按机器码执行、按Shell代码执行、按SQL代码执行等等)操作系统漏洞分类4、从触发条件上看可以分为●主动触发漏洞，攻击者可以主动利用该漏洞进行攻击，如直接访问他人计算机。
●被动触发漏洞，必须要计算机的操作人员配合才能进行攻击利用的漏洞。
比如攻击者给管理员发一封邮件，带了一个特殊的jpg图片文件，如果管理员打开图片文件就会导致看图软件的某个漏洞被触发，从而系统被攻击，但如果管理员不看这个图片则不会受攻击。
操作系统漏洞分类5、从操作角度看可分为●文件操作类型，主要为操作的目标文件路径可被控制(如通过参数、配置文件、环境变量、符号链接灯)，这样就可能导致下面两个问题：◇写入内容可被控制，从而可伪造文件内容，导致权限提升或直接修改重要数据(如修改存贷数据)，这类漏洞有很多，如历史上Oracle TNS LOG文件可指定漏洞，可导致任何人可控制运行Oracle服务的计算机;◇内容信息可被输出，包含内容被打印到屏幕、记录到可读的日志文件、产生可被用户读的core文件等等，这类漏洞在历史上Unix系统中的crontab子系统中出现过很多次，普通用户能读受保护的shadow文件;●内存覆盖，主要为内存单元可指定，写入内容可指定，这样就能执行攻击者想执行的代码(缓冲区溢出、格式串漏洞、PTrace漏洞、历史上Windows2000的硬件调试寄存器用户可写漏洞)或直接修改内存中的机密数据。
硬件安全性漏洞的识别与处理技术
硬件安全性漏洞的识别与处理技术在现代社会中，信息技术的快速发展使得计算机已经成为了人们的生活必备品，而硬件安全性漏洞也成为了一个日益突出的问题。
对于企业、政府以及个人来说，发现并解决硬件安全性漏洞是至关重要的。
本文主要介绍硬件安全性漏洞的识别与处理技术。
一、硬件安全性漏洞的定义和分类硬件安全性漏洞指的是计算机硬件中存在的机会性或者故意设计的漏洞，这些漏洞可能会对计算机系统造成不同程度的安全威胁。
目前已经发现的硬件安全漏洞包括密码错误、缺乏逻辑对称性、磁盘故障、电源问题、模拟漏洞、隐私侵犯、系统脆弱等等。
根据漏洞的类型，硬件安全漏洞可被分为以下几个类别：1. 计算机硬件单元漏洞2. 硬件测试工具类漏洞3. 固件漏洞4. 物理媒介漏洞5. 硬件电子化漏洞二、硬件安全性漏洞识别的技术1. 硬件逆向技术硬件逆向技术是一种通过对目标设备进行逆向分析、捕获缺陷并制定恢复方案的技术。
其主要方法包括攻击者通用逆向技术（Gurt）、微蚁工具（Ant）、FST（下一代扫描技术）。
这些技术的目的是为了让攻击者可以了解和深入分析硬件电路的设计思想与实现，并从中找到系统中的错误并修复它们。
2. 异常检测技术异常检测技术是通过对硬件系统中的安全性漏洞行为进行监控来检测异常行为。
这些异常行为就是与硬件系统工作无关的反常行为。
利用这种技术可以在出现安全漏洞时及时发现并进行处理，防止损失的进一步扩大。
异常检测技术包括数据挖掘技术、机器学习技术和深度学习技术。
3. 线上分析技术线上分析技术是一种通过实时监控硬件系统中可能存在的安全漏洞行为并进行分析的技术。
通过这种技术可以对硬件系统进行实时的分析和监控，及时发现意外行为。
线上分析技术包括数字签名技术、应用层协议解析技术和网络封包解码技术。
三、硬件安全性漏洞处理的技术1. 先发制人的安全性策略针对硬件系统中可能存在的安全漏洞，企业、政府和个人可以通过制定有计划的安全性策略来提前发现和处理这些漏洞。
安全测试中的安全漏洞分类与评级
安全测试中的安全漏洞分类与评级在安全测试中，我们经常会遇到各种各样的安全漏洞。
为了更好地管理和修复这些漏洞，我们需要对它们进行分类和评级。
本文将介绍安全测试中的安全漏洞分类与评级方法。
一、安全漏洞分类安全漏洞可以按照不同的标准进行分类。
常见的分类方式如下：1. 身份验证漏洞：包括密码弱、用户身份验证缺陷等。
2. 授权漏洞：包括对未授权用户的敏感信息访问、未经授权的操作等。
3. 输入验证漏洞：包括SQL注入、跨站脚本等。
4. 安全配置漏洞：包括未更新的软件、误配置的权限等。
5. 敏感信息泄露漏洞：包括个人身份证号码、信用卡信息等泄露问题。
6. 不安全的网络通信：包括明文传输、未加密的数据等。
7. 逻辑漏洞：包括业务流程错误、访问控制缺陷等。
二、安全漏洞评级安全漏洞的评级可以帮助我们更好地理解漏洞的危害程度，提高漏洞修复的优先级。
通常，漏洞评级会根据以下几个方面进行评估：1. 影响范围：评估漏洞对系统、业务的影响程度，包括可利用性、可访问性等。
2. 潜在损害：评估漏洞可能造成的直接和间接损害，包括信息泄露、系统瘫痪等。
3. 攻击复杂度：评估攻击者利用该漏洞的技术复杂度，包括难度、需要的条件等。
4. 修复难度：评估修复该漏洞的难度和所需成本，包括时间、资源、人力等。
基于以上几个维度，我们可以将漏洞评级划分为以下几个等级：1. 高危漏洞：对系统和业务产生重大威胁，攻击复杂度低，修复难度高。
2. 中危漏洞：对系统和业务产生一定威胁，攻击复杂度适中，修复难度一般。
3. 低危漏洞：对系统和业务影响较小，攻击复杂度较高，修复难度较低。
4. 信息性漏洞：未严重影响系统和业务，主要为提供信息性报告。
三、安全漏洞处理流程在发现安全漏洞后，我们需要按照一定的流程进行处理。
一般而言，处理流程包括以下几个步骤：1. 漏洞确认：确认漏洞的存在，并尽快向相关人员报告。
2. 漏洞分析：深入分析漏洞的原因、产生的影响以及可能的修复方案。
网络安全漏洞分类指南
网络安全漏洞分类指南在当今数字化的时代，网络安全已经成为了一个至关重要的问题。
网络安全漏洞是网络威胁的主要来源之一，了解它们的分类对于有效地防范和应对网络攻击至关重要。
本文将为您详细介绍网络安全漏洞的分类，帮助您更好地理解和应对网络安全风险。
一、按照漏洞产生的原因分类1、编程错误这是最常见的漏洞类型之一。
在软件开发过程中，由于程序员的疏忽或对编程语言的理解不够深入，可能会导致代码中存在逻辑错误、语法错误或算法错误。
这些错误可能会被攻击者利用，从而获取系统的控制权或敏感信息。
2、配置错误系统管理员在配置服务器、网络设备或应用程序时，如果设置不当，可能会导致安全漏洞。
例如，开放不必要的端口、使用弱密码、授予过高的权限等。
3、设计缺陷在系统或软件的设计阶段，如果没有充分考虑到安全因素，可能会导致先天性的安全漏洞。
这种漏洞往往比较难以修复，需要对系统进行重大的改进或重新设计。
二、按照漏洞的影响范围分类1、本地漏洞这类漏洞只能在本地系统上被利用，通常需要攻击者具有物理访问权限或者已经通过其他方式获取了本地用户的权限。
例如，利用本地权限提升漏洞获取管理员权限。
2、远程漏洞攻击者可以通过网络远程利用这些漏洞，无需直接接触目标系统。
远程漏洞的危害通常较大，因为攻击者可以在任何地方发起攻击。
三、按照漏洞所涉及的技术领域分类1、操作系统漏洞操作系统是计算机系统的核心，如果操作系统存在漏洞，将会影响整个系统的安全性。
例如，Windows、Linux 等操作系统的内核漏洞、驱动程序漏洞等。
2、数据库漏洞数据库中存储着大量的敏感信息，如用户数据、财务数据等。
数据库漏洞可能导致数据泄露、数据篡改等严重后果。
3、网络协议漏洞网络协议是实现网络通信的基础，如果网络协议存在漏洞，可能会被攻击者利用来进行中间人攻击、拒绝服务攻击等。
4、应用程序漏洞各种应用程序，如 Web 应用、电子邮件客户端、办公软件等，都可能存在漏洞。
例如，Web 应用中的 SQL 注入漏洞、跨站脚本漏洞等。
安全漏洞分类标准
安全漏洞分类标准在信息安全领域，对安全漏洞进行分类是十分重要的一项工作。
以下是常见的安全漏洞分类标准，按照其影响范围和可能造成的危害分为以下十类：1.访问控制漏洞：访问控制是网络安全的重要组成部分，这类漏洞可能使得未经授权的用户访问敏感信息或执行未授权的操作。
例如，错误的权限配置或弱密码策略可能导致这类漏洞。
2.输入验证漏洞：这类漏洞涉及到用户输入的数据没有得到正确的验证和处理。
例如，用户输入恶意数据，可能导致应用程序崩溃或被利用进行攻击。
3.会话管理漏洞：会话管理是用于跟踪用户状态的一种机制，这类漏洞可能导致会话劫持、会话固定或会话溢出等问题。
例如，攻击者可能通过窃取或伪造会话令牌来冒充其他用户的身份。
4.加密漏洞：加密是保护数据机密性和完整性的重要手段，这类漏洞可能涉及到加密算法的缺陷、加密密钥的管理不当或加密配置错误等问题。
例如，使用弱加密算法或密钥管理不善可能导致敏感数据泄露。
5.配置漏洞：这类漏洞涉及到系统或应用程序的配置错误。
例如，错误的文件权限设置、不安全的数据库配置或默认设置未更改等都可能导致安全漏洞。
6.跨站脚本攻击（XSS）漏洞：跨站脚本攻击是一种常见的网络攻击手段，这类漏洞涉及到攻击者在用户浏览器中执行恶意脚本。
例如，攻击者可以通过插入恶意脚本导致用户会话被劫持或个人信息被窃取。
7.注入攻击漏洞：这类漏洞涉及到应用程序接受恶意输入并将其插入到运行时环境中，可能导致应用程序崩溃或被利用进行攻击。
例如，SQL注入攻击可以利用数据库查询语言执行恶意代码。
8.后门程序漏洞：后门程序是一种绕过正常安全措施以访问系统资源的程序，这类漏洞可能存在恶意软件或隐藏功能。
例如，开发人员可能留下后门以便日后访问或控制系统。
9.权限提升漏洞：这类漏洞涉及到利用系统或应用程序中的漏洞来提升用户权限，从而执行未授权操作。
例如，攻击者可以利用本地权限提升漏洞接管整个系统。
10.日志与监控漏洞：日志和监控是用于跟踪系统活动和事件的重要手段，这类漏洞可能涉及到日志记录不充分、监控措施不足或篡改日志文件等问题。
网络安全漏洞的分类
网络安全漏洞的分类网络安全漏洞是指网络系统或应用中存在的设计或实现缺陷，可能被攻击者利用来获取未经授权的访问或执行恶意操作。
网络安全漏洞的分类可以根据漏洞的类型、来源和影响等多个维度进行。
以下是网络安全漏洞的一些常见分类。
一、软件漏洞软件漏洞是指软件开发过程中的设计或编码错误，可以被攻击者利用来获取对系统的不当访问或执行未经授权的操作。
常见的软件漏洞包括缓冲区溢出、代码注入、身份验证问题等。
1. 缓冲区溢出漏洞：当程序对一个缓冲区进行写操作时，未能检查写入数据的长度，导致超出缓冲区边界，覆盖了其他重要的内存区域，并可能执行恶意代码。
2. 代码注入漏洞：攻击者通过向应用程序注入恶意代码，控制了应用程序的执行流程。
3. 身份验证问题：包括密码弱、会话固定、跨站点请求伪造等，导致攻击者可以绕过身份验证机制或者利用会话漏洞获取用户的敏感信息。
二、系统配置漏洞系统配置漏洞是指网络或操作系统的错误配置，导致攻击者可以利用系统的弱点来攻击网络。
常见的系统配置漏洞包括弱密码、开放端口、未及时更新和应用安全补丁等。
1. 弱密码：使用弱密码或者默认密码，被攻击者猜测或破解，导致未经授权的访问。
2. 开放端口：未正确配置防火墙和路由器，开放了不必要的端口，使攻击者可以利用这些开放端口进行攻击。
3. 未及时更新和应用安全补丁：系统或应用程序存在已知的漏洞，但未及时更新或应用相关的安全补丁，被攻击者利用来攻击系统。
三、物理安全漏洞物理安全漏洞是指由于组织或个人对网络设备或服务器等信息技术设备的安全保护不足，导致攻击者可以直接接触到设备或获取设备的敏感信息。
常见的物理安全漏洞包括设备丢失、设备未被锁定、设备未受到防护等。
1. 设备丢失：设备由于丢失或被盗，使攻击者可以直接获得设备中存储的敏感信息。
2. 设备未被锁定：服务器房间或机房未被锁定，使攻击者可以物理接触设备并进行攻击。
3. 设备未受到防护：网络设备未安装防火墙、入侵检测系统等安全设备，使攻击者可以直接接触到设备并进行攻击。
网络安全常见漏洞风险评定
网络安全常见漏洞风险评定网络安全漏洞是指存在于计算机系统、网络设备或应用程序中的安全弱点。
黑客经常利用这些漏洞来侵入系统、获取敏感信息或对系统进行恶意攻击。
因此，对网络安全常见漏洞的风险进行评定和防范是至关重要的。
本文将对网络安全常见漏洞的风险进行评定和探讨。
1. 漏洞的定义与分类网络安全漏洞是指在计算机系统、网络设备或应用程序中存在的未被修补或使用不当的安全弱点。
根据漏洞的性质和可能造成的危害程度，可以将漏洞分为以下几类：系统漏洞、网络漏洞、应用程序漏洞和人为漏洞。
对于每一类漏洞，都需要进行相应的风险评定。
2. 漏洞的风险评定方法漏洞的风险评定是指对漏洞可能造成的危害程度和存在的风险进行评估和分析。
以下是常用的漏洞风险评定方法：a. 漏洞危害程度评估：评估漏洞对系统安全的潜在威胁。
通常包括以下几个方面：对系统的影响程度、数据的可靠性、系统性能的下降、对隐私的侵害程度等。
b. 漏洞容易被利用的概率评估：评估漏洞被黑客利用的概率。
通常包括以下几个方面：漏洞的知名度、公开程度、已知的攻击方法和工具等。
c. 漏洞修复成本评估：评估修复漏洞所需的成本和困难程度。
通常包括以下几个方面：修复所需的时间、人力资源、技术难度等。
3. 常见漏洞的风险评定案例以下是几种常见漏洞的风险评定案例：a. 操作系统漏洞：操作系统漏洞对系统安全威胁较大。
风险评定应考虑漏洞对系统稳定性的影响、可能导致的系统崩溃、黑客可能获取的权限等。
b. 网络设备漏洞：网络设备漏洞可能导致黑客入侵网络并获取敏感信息。
风险评定应考虑漏洞对网络可用性的影响、可能造成的数据泄露、攻击者可能控制的范围等。
c. 应用程序漏洞：应用程序漏洞常存在于常用软件和网站中。
风险评定应考虑漏洞可能造成的用户数据泄露、黑客可能利用漏洞进行远程代码执行等。
d. 社会工程学攻击：社会工程学攻击是利用人类行为上的弱点进行攻击。
风险评定应考虑黑客获取敏感信息的可能性、可能对组织造成的声誉损失等。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
漏洞分类及判定方法
A4 –不安全的直接对象引用
原因：/userdetail.aspx?userId=1，容易认为的进行猜测userId=2等等，如果没有判断权限，就容易出现信息泄露的问题；但是如果url是
/userdetail.aspx?userId=ABAWEFRA则很难进行猜测
解决关注点：url参数的编码和解码
A5 –安全配置错误
原则：最少使用模块配置、最小权限配置；适用范围：OS,IIS,数据库
解决关注点：Web.config中的Error节点配置，比如404、403错误的重定向和日志记录、日志文件不能放在网站路径下；web.config文件的加密（aspnet_regiis），具体命令如下：使用命令行，如(run as admin)：
C:\Windows\\Framework\v4.0.30319\aspnet_regiis -site "VulnerableApp" -app "/" -pe "connectionStrings"
A7 –功能级访问控制缺失
原因：UI中显示了当前用户不能进行的操作，比如禁用了某个delete按钮（能被修改成disable: 0即可使用）；权限验证是否覆盖到了某功能、UI；服务器端是否进行了权限验证（业务层级别）
解决关注点：权限验证
Sample: 读取文件时，比如下载时，如：download.aspx?file=a.txt，如果被修改成了download.aspx?file=/config.xml 就麻烦了。