OWASP-CM-005

Testing for File extensions handling (OWASP-CM-005) 文件后缀管理测试

 

 

 

 

Brief Summary 概述

 

 

另外，错误的配置可能使得关于访问控制的完整信息暴露给攻击者。

标准的文件后缀使得渗透者获得关于这一文件的技术的有用信息，以极大简化攻击策略的确定。

web 服务器使用文件后缀来更加容易的确定应该使用何种技术 / 语言 / 插件来处理请求。

 

 

 

Description of the Issue 关于这一问题的描述

 

 

不同的文件扩展名有助于帮助理解 web 服务器的行为。例如，它可以帮助我们了解哪些文件被作为文本返回，哪些在服务器端执行。后者表明是何种技术 / 语言 / 插件。例如，“ .pl ”扩展名通常表面服务器端支持 Perl （虽然只有文件扩展名可能是欺骗性的，并无定论，如 Perl 服务器端的资源可能被重新命名，以掩饰他们的确与 Perl 有关）。确服务器端的技术和组件另见下一节关于“网络服务器组件”。

 

 

 

 

 

Black Box testing and example 黑盒测试和示例

 

提交 http [ s ] 请 求涉及不同的文件 扩 展名， 验证 它 们 是如何 被 处 理 的 。 这 些核 查 以每一个 web 目 录为 基 础 。

确认 允 许 脚本 执 行 的目录 。可以通 过 一些漏洞 扫 描器 来确定 Web 服 务 器的目 录 。此外， 创建一个 网站 结 构 的镜像可以 重建 web 目录树 。

如果 web 应用程序的体系结构采用了负载均衡，那么就需要评估所有 Web 服务器。仅仅依赖于负载均衡的配置来确定可能容易，也可能不容易。例如，如果网络架构采用异构技术（考虑同时对 IIS 和 Apache web 服务器设置了负载均衡，这可能引入他们之间的不对称行为，可能有不同的脆弱点）。

Example:
We have identified the existence of a file named connection.inc. Trying to access it directly gives back its contents, which are: 我们确定了一个名为 connection.inc 的文件的存在，尝试访问它，得到了如下返回。

 

<?

   mysql_connect("127.0.0.1", "root", "")

        or die("Could not connect");

 

?>

  我们确定后端有 MySQL 数据库管理系统的存在，并且它对 web 应用程序的访问使用了一定的检查机制。这个例子表明访问一定种类的文件是很危险的。

下面的文件扩展名绝不应返回 Web 服务器，因为它们涉及的文件可能包含敏感信息，或没有送达的原因。

• .asa
• .inc

下面的文件扩展名相关的是，当访问的文件，要么显示或要么由浏览器下载。因此，有这些扩展名的文件必须进行检查，以验证它们确实应该是提供服务的，而且它们不包含敏感信息。

 

 

• .zip, .tar, .gz, .tgz, .rar, ...: (Compressed) archive files （压缩）档案文件
• .java: No reason to provide access to Java source files 没有理由要提供 java 源文件
• .txt: Text files 文本文件
• .pdf: PDF documents PDF 文档
• .doc, .rtf, .xls, .ppt, ...: Office documents office 文档
• .bak, .old and other extensions indicative of backup files (for example: ~ for Emacs backup files) 备份文件（例如， ~ 是 Emacs 备份文件）

上述内容只是几个例子给出的清单，因为文件扩展名太多，在这里不能穷尽。参照 http://filext.com/ ，一个内容更多的文件扩展名数据库。  

概括起来讲，为了确定文件有一个给定的扩展，可以依靠一系列的技术，其中包括：漏洞扫描， spidering 和 mirroring 工具，手工检查应用程序（这克服了自动 spidering 的局限），查询搜索引擎（见 Spidering 和 googleing ）。另见 old file testing 有关 “ 遗忘 ” 文件的安全问题处理。

 

 

 

 

 

 

Gray Box testing and example 灰盒测试和示例

 

 检查在 web 应用结构中的 web 服务器和应用服务器的配置，确定它们是不是表现出与白盒测试不同的文件扩展名。如果 web 应用依赖负载均衡，多种基础配置，那么确定这是否会表现出不同的行为

 

 

 

 

工具

§  Vulnerability scanners, such as Nessus and Nikto check for the existence of well-known web directories. They may allow as well downloading the web site structure, which is helpful when trying to determine the configuration of web directories and how individual file extensions are served. Other tools that can be used for this purpose include:

§  wget - http://www.gnu.org/software/wget

§  curl - http://curl.haxx.se

§  Google for “web mirroring tools”.