CVE-2021-41773 — 极简 FastAPI 实验环境

一个小型自包含的 FastAPI 实验环境，演示了在验证文件系统边界之前解码用户输入如何导致目录遍历和本地文件包含（LFI），该环境模拟了 Apache HTTP Server 的 CVE-2021-41773 问题。

功能

• 极简且易于阅读的 FastAPI 示例：一个易受攻击的服务器和一个已修补的服务器
• 演示单重编码（%2e）和双重编码（%252e）绕过
• 根端点包含用于 curl 测试的快速有效载荷
• 无需 Docker — 使用 uvicorn 在本地运行

仓库结构

• patched_app.py — 安全实现（使用规范化路径检查）
• vulnerable_app.py — 故意存在漏洞的实现
• secret.txt — 作为利用目标的越界秘密文件
• webroot/test.txt — 示例提供的公共文件
• README.md — 本文件

环境要求

• Python 3.8+
• pip

安装运行时依赖：

pip install fastapi uvicorn

快速开始

1. 创建并激活虚拟环境（Windows PowerShell 示例）：

python -m venv venv
.\venv\Scripts\activate

2. 安装依赖：

pip install fastapi uvicorn

3. 运行存在漏洞的服务器（端口 8011）：

uvicorn vulnerable_app:app --port 8011

在浏览器中打开 http://127.0.0.1:8011/ — 根端点显示常见有效载荷和注意事项。

要观察修复效果，请停止存在漏洞的服务器并运行已修补的服务器：

uvicorn patched_app:app --port 8011

示例请求（curl）

• 对公共文件的基线访问：

curl --path-as-is http://localhost:8011/icons/test.txt

• CVE-2021-41773（单重编码）— 绕过朴素的边界检查：

curl --path-as-is "http://localhost:8011/icons/.%2e/secret.txt"

• CVE-2021-42013（双重编码）— 绕过不进行重复解码的过滤器：

curl --path-as-is "http://localhost:8011/icons/.%252e/secret.txt"

针对存在漏洞的服务器，这些有效载荷可能返回 secret.txt。针对已修补的服务器，它们应被拒绝（HTTP 403）。

补丁的工作原理（高级概述）

1. 完全解码传入路径（处理多层编码）。
2. 使用 os.path.realpath() 解析规范的文件系统路径。
3. 强制要求解析后的路径位于预期的 webroot 目录之内 — 否则拒绝。

这强制了正确的顺序：解码 → 规范化 → 授权。

安全与使用

本仓库仅供本地与教学使用。请勿将存在漏洞的服务器暴露到公共网络中。

许可证

MIT 许可证

作者

Kunal Khandelwal — 安全研究员（应用安全方向）