最近网安不定时扫描，我们服务器的金蝶AAS中间件V9版本，被扫出了“Apusic应用服务器未授权目录遍历” server_file 漏洞，我们先来回顾一下出现的问题：
| 漏洞页面 |
https://www.xxx.com:1234/sso/..;/admin/protected/selector/server_file/files?folder=/etc/ |
| 测试过程 | 发现金蝶9.0版本系统进行构造可以浏览服务器目录 |
| 漏洞截图 | 
|
| 漏洞危害 | 能够便利系统文件目录 |
不出所料，被评为了一个高危漏洞，所以必须得解决。
大家注意品这句话：这是通过url路径访问，从而爆出的金蝶中间件的服务器目录漏洞。
由此，可以从如下方向解决该问题：
（手动狗头）
· 如果你是金蝶V10，那么可以直接设置，请出门左转，不送：
https://vip.kingdee.com/article/476412064764868352?productLineId=14&isKnowledge=2
· 如果你是金蝶V9，那么请继续往下看，随意选择一种方式即可：
① 既然是通过url访问，那我直接在nginx里，把这种乱七八糟的路径禁用不就行了？
上码，nginx配置：
server{
...
location ~ \.\. {
deny all;
}
...
}
② 既然最终爆出的是金蝶中间件里的服务器信息，那直接去掉不就好了吗？
上实操方案：
· 验证：通过 xxx/sso/../admin/protected/selector/server file/files?folder=/ · 解决方案: 去除获取服务器信息的服务接口 · 操作: 删除 webtool.war
如果您有更好的方式，可以打在评论区，我整理到文档里，能够帮助更多的人。
PS：如果本文对你有帮助，请点个赞再走呗~
标签：Apusic,金蝶,V10,server,漏洞,file,服务器,V9 From： https://www.cnblogs.com/wshisboy/p/17817506.html