安全测试 - 恶意文件执行

开发人员经常直接使用或连接可能存在漏洞的输入与文件，或者假设输入文件是真实的。如果未正确检查数据，这可能导致易受攻击的内容被Web服务器处理或调用。

示例

一些经典示例包括：

将.jsp文件上传到Web目录。
上传.gif文件进行调整大小。
上传大型文件。
上传包含标签的文件。
将.exe文件上传到Web目录。

动手操作

步骤1 - 启动WebGoat并导航到“恶意文件执行”部分。场景快照如下所示：

步骤2 - 为完成本课程，我们需要将guest.txt上传到上述位置。

步骤3 - 让我们创建一个jsp文件，以便在执行jsp时创建guest.txt文件。jsp的命名在此上下文中不起作用，因为我们正在执行jsp文件的内容。

<HTML> 
   <% java.io.File file = new 
      java.io.File("C:\\Users\\username$\\.extract\\webapps\\WebGoat\\mfe_target\\guest.txt"); 
      file.createNewFile(); %> 
</HTML>

步骤4 - 现在上传jsp文件，并在上传后复制其链接位置。上传期望的是图像，但我们上传的是jsp文件。

步骤5 - 导航到jsp文件后，用户不会收到任何消息。

步骤6 - 现在刷新您上传jsp文件的会话，您将收到一条消息：“*恭喜您成功完成了本课程”。

预防机制

使用网站权限保护网站安全。
采取网络应用程序安全防御措施。
了解IIS 7.0中的内置用户和组帐户。

打印页面