虽然这次跟我是没啥关系，但是求不举报）（指去年） 至于这个漏洞，我也没有通知管理员或者其他的什么相关人员 可能是因为去年这个时候我思想比较不成熟（ 再加上我也觉得没多少人会看到这个（到目前为止也只有两三个人） 现在想来，还是应该及时通知管理员修补漏洞比较好 不过我是懒得弄这些事情（）），所以就一直挂在这里了 回复
很遗憾无法阻止，因为本来就是通过网页后端代码存在的漏洞进行的下载操作，所以下载（或 RCE）时的 UID 就是后端服务器进程的 UID 。显然不能阻止后端服务器访问配置文件。 修补方法其实很简单，对于传入的 filename 把 “..” 或 “/” 等特殊字符过滤掉就好了。 （话说我还以为不会有人发现的w 回复
在修
我还以为应该早就修完了hh，都这么久过去了
被艹的管理员到此一游……
dbq我错了 qwq
这是我校（福建师大附中）OJ。
今年集训又被搞了。
虽然这次跟我是没啥关系，但是求不举报）（指去年）
至于这个漏洞，我也没有通知管理员或者其他的什么相关人员
可能是因为去年这个时候我思想比较不成熟（
再加上我也觉得没多少人会看到这个（到目前为止也只有两三个人）
现在想来，还是应该及时通知管理员修补漏洞比较好
不过我是懒得弄这些事情（）），所以就一直挂在这里了
现在管理员已经在搭新的了。
因为这个 OJ 在今年夏令营被艹的太惨了。
另外求 QQ。
那啥，弱弱的问一句：我不会有危险吧 Qaq
不会的。
关掉 config.json 的其他用户的可读权限可否阻止下载
很遗憾无法阻止，因为本来就是通过网页后端代码存在的漏洞进行的下载操作，所以下载（或 RCE）时的 UID 就是后端服务器进程的 UID 。显然不能阻止后端服务器访问配置文件。
修补方法其实很简单，对于传入的 filename 把 “..” 或 “/” 等特殊字符过滤掉就好了。
（话说我还以为不会有人发现的w
果然是dalao
bbbwtcl只搞了一个破分站
LZU！！！
cysb