一、什么是目录穿越？
目录穿越，也叫路径遍历，就是在访问网站的请求中构造好绝对路径或者相对路径，向服务端发送请求或者命令来攻击服务器
二、注意点
1、./是当前目录
2、…/是父级目录（回到当前文件夹下的，上一个文件夹）
3、/是根目录（回到最顶端的那个文件夹下）
三、burp实战
1、Lab: File path traversal, simple case
Lab: File path traversal, simple case | Web Security Academy
该实验室在产品图片显示功能中存在路径遍历漏洞。 要完成本实验，请获取 /etc/passwd 文件的内容。
第一步：在burp内置浏览器里面打开网页，访问靶场地址
第二步，通过proxy 的HTTP history进行抓包
随便找到其中一张图片的请求，点击后按下ctrl+R发送到Repeter，在Repeter中修改filename的路径
原本的GET请求：
修改后：
之后在Repeter模块点击Send按钮，即可在Response里面查看passwd文件的内容
2、Lab: File path traversal, traversal sequences blocked with absolute path bypass
Lab: File path traversal, traversal sequences blocked with absolute path bypass | Web Security Academy
本实验室在产品图片展示功能中存在路径遍历漏洞。 该应用会阻止遍历序列，但会将提供的文件名视为相对于默认工作目录的路径。 要完成本实验，需获取 /etc/passwd 文件的内容。
该实验与上一个实验一样，只不过不能用/../../的方法来进行目录穿越，只能使用/etc/passwd的方式来访问，操作流程一样，只需要把/../../../../etc/passwd改为/etc/passwd即可
