Web 系统的安全性测试之文件上传下载测试-jsp文件怎么打开

Web 系统的安全性测试之文件上传下载测试

随着因特网的不断发展,人们对网络的使用越来越频繁,通过网络进行购物、支付等其他业务操作。而一个潜在的问题是网络的安全性如何保证,一些黑客利用站点安全性的漏洞来窃取用户的信息,使用户的个人信息泄漏,所以站点的安全性变得很重要。

Web 系统的安全性测试包括以下内容:

(1)Web 漏洞扫描

(2)服务器端信息测试

(3)文件和目录测试

(4)认证测试

(5)会话管理测试

(6)权限管理测试

(7)文件上传下载测试

(8)信息泄漏测试

(9)输入数据测试

(10)跨站脚本攻击测试

(11)逻辑测试

(12)搜索引擎信息测试

(13)Web Service 测试

(14)其他测试

本章节主要给大家介绍第(7)点——文件上传下载测试

文件上传下载测试包括两方面内容:一是文件上传;二是文件下载。文件上传主要是测试系统是否对从客户端提交的上传文件进行约束,不能让用户在客户端随意提交任何文件。文件下载主要是测试在下载时是否存在跨越目录、越权的情况。

(1)文件上传测试

现在很多网站都提供文件上传功能,如果在服务器端没有对上传文件的类型、大小、保存的路径及文件名进行严格限制,攻击者就很容易上传后门程序取得WebShell,从而控制服务器。测试

步骤如下:

步骤1:登录网站,并打开文件上传页面。

步骤2:单击“浏览”按钮,并选择本地的一个JSP 文件(如test.jsp),确认上传。

步骤3:如果客户端脚本限制了上传文件的类型(如允许gif 文件),则把test.jsp 更名为test.webp;配置HTTP Proxy使用WebScarab 工具对HTTP 进行请求拦截;重新单击“浏览”按钮,并选择test.webp,确认上传。

步骤4:在WebScarab 拦截的HTTP 请求数据中,将test.webp 修改为test.jsp,再发送请求数据。

步骤5:登录后台服务器,用命令find/-name test.jsp 查看test.jsp 文件存放的路径。如果可以直接以Web 方式访问,则构造访问的URL,并通过浏览器访问test.jsp,如果可以正常访问,则已经取得WebShell,测试结束。如果无法访问,例如test.jsp 存放在/home/tomcat/目录下,而/home/tomcat/webapps 目录对应http://www.example.com/,则进行下一步操作。

步骤6:重复步骤1~3,在WebScarab 拦截的HTTP 请求数据中,将test.webp 修改为test.jsp,再发送请求数据。

步骤7:在浏览器地址栏中输入http://www.example.com/test.jsp,访问该后门程序,取得WebShell,结束测试。

预期结果:服务器端对上传文件的类型、大小、保存的路径及文件名进行严格限制,确保无法上传后门程序。

(2)文件下载测试

现在很多网站提供文件下载功能,如果网站对用户下载文件的权限控制不严,攻击者就很容易利用目录跨越、越权下载,下载一些权限外的资料(比如其他用户的私有、敏感文件)。

如某下载页面URL(假设该页面是某用户的个人信息,对应的URL 为http://192.168.1.9/download/userid001/info.xls),测试时可以猜测并更改URL 路径,对URL 进行访问:

http://192.168.1.9/download/userid001/info.xls

http://192.168.1.9/download/userid002/info.xls

http://192.168.1.9/admin/report.xls

……

观察页面返回信息,如果可以越权获取到其他用户的私有、敏感文件,则说明存在漏洞。

而一些网站接受类似于文件名的参数用于下载或显示文件内容,如果服务器未对这种情况进行严格判断,攻击者同样可以通过修改这个参数值来下载、读取任意文件,比如/etc/password 文件。测试时可以更改URL 对其进行测试。

http://www.exmaple.com/viewfile.do?filename=../etc/passwd

http://www.exmaple.com/viewfile.do?filename=../../etc/passwd

……

对于UNIX/Linux 服务器可以尝试下载/etc/passwd 文件,对于Windows 服务器可以尝试下载 c:\boot.ini 文件。

观察页面返回信息,如果可以下载/etc/passwd 或c:\boot.ini 文件的信息,说明下载文件有漏洞。

推荐阅读