WebService测试
WebService是一种跨编程语言和跨操作系统平台的远程调用技术XML+XSD、 SOAP(Simple Object Access Protocol)和WSDL(Web Services Description Language)就是构成WebService平台的三大技术,其XML+XSD用来描述、表达要传输的数据; SOAP是用于交换XML编码信息的轻量级协议,一般以XML或者XSD作为载体,通过 HTTP协议发送请求和接收结果,SOAP协议会在HTTP协议的基础上增加一些特定的 HTTP消息头;WSDL是一个基于XML的用于描述Web Service及其函数、参数和返回值的 语言。 通过上面的描述,我们可以知道WebService就是一个应用程序向外界暴露出一个能通 过Web进行调用的API。这个API接收用户输入的参数,然后返回相关的数据内容。如果 一个WebService完全信任用户的输入,不进行过滤,则有可能导致SQL注入漏洞的发生
修复建议
(1)为WebService添加身份认证,认证成功后才允许访问和调用。
(2)WebService中接收输入参数的函数,在后端应该对输入参数进行过滤及净化, 在处理后才入库查询。
(3)在敏感功能的函数中,添加密码认证,认证后才允许调用敏感功能的函数。