WebService测试

WebService测试

WebService是一种跨编程语言和跨操作系统平台的远程调用技术XML+XSD、 SOAP（Simple Object Access Protocol）和WSDL（Web Services Description Language）就是构成WebService平台的三大技术，其XML+XSD用来描述、表达要传输的数据； SOAP是用于交换XML编码信息的轻量级协议，一般以XML或者XSD作为载体，通过 HTTP协议发送请求和接收结果，SOAP协议会在HTTP协议的基础上增加一些特定的 HTTP消息头；WSDL是一个基于XML的用于描述Web Service及其函数、参数和返回值的 语言。 通过上面的描述，我们可以知道WebService就是一个应用程序向外界暴露出一个能通 过Web进行调用的API。这个API接收用户输入的参数，然后返回相关的数据内容。如果 一个WebService完全信任用户的输入，不进行过滤，则有可能导致SQL注入漏洞的发生

修复建议

（1）为WebService添加身份认证，认证成功后才允许访问和调用。

（2）WebService中接收输入参数的函数，在后端应该对输入参数进行过滤及净化， 在处理后才入库查询。

（3）在敏感功能的函数中，添加密码认证，认证后才允许调用敏感功能的函数。