对上传下载文件的渗透测试

上传:
上传的时候可以上传一个木马文件；
或者将木马文件的后缀更改为jpg后上传；

1.路径的权限–防止黑客以…/…/进入到根目录,获取磁盘大量文件;
2.上传的文件头必须设定;
3.上传的文件内容header等必须检查验证;
4.上传的文件内容中不能有执行文件;
5.文件的头文件最好是白盒；
6.文件上传后,名称强制更改;

下载:
1.下载的url必须身份认证;
2.下载过程中不能有文件的残留,证书什么的;
3.服务器对下载数据加签名,应用端做验证,防止篡改下载包地址后,应用端下载了黑客的包.

串口登陆：
防止木马对登陆接口的攻击（比如只知道用户名，一直攻击登陆，让正式用户无法登陆）；
防护为：用户名+ip+mac地址 锁定，来防止攻击。

登陆后，及时销毁cookie和用户的session，防止木马钓鱼。