【Web安全】先进技术WebSocket下安全测试

什么是WebSocket

WebSockets 是一种先进的技术。它可以在用户的浏览器和服务器之间打开交互式通信会话。允许浏览器和服务器建立单个TCP连接然后进行全双工异步通信。允许实时更新，浏览器也无需向后台发送数百个新的HTTP 请求，所以对于web程序来说，WebSocket非常流行

在一次授权的APP渗透测试中，发现客服系统走的websocket

测试了几个功能，抓到了upload的websocket接口

经过测试 发现存在任意文件上传，且可以通过…/…/控制上传文件夹，文件名也没经过后端处理强制改名。
该站环境为Linux+nginx+各种前端框架堆起来的站，框架漏洞暂未发现，各个语言的后门也都不提供解析

也想过通过上传html来构造xss，但是该站采用了authorization授权，xss暂时作用不大。