常见Web安全漏洞测试指南

任意文件下载

漏洞描述

一些网站由于业务需求，可能提供文件查看或下载的功能，如果对用户查看或下载的文件不做限制，则恶意用户就能够查看或下载任意的文件，可以是源代码文件、敏感文件等。

测试指南

使用 BurpSuite、或者手工抓取所有的url，以及寻找相关敏感的功能点，比如文件查看处，文件下载处等功能点，手工发送一系列 “…/” “./” 等字符来遍历高层目录，并且尝试找到系统的配置文件（/etc/passwd，win.ini等）或者该web站点相关系统中存在的敏感文件（如：java应用中的…/…/…/WEB-INF/web.xml）。

测试结论

若发送的相关敏感文件的payload能够成功执行，返回相关报文，则存在文件下载漏洞。

安全建议

• 指定下载目录，下载路径不允许超过当前下载目录。

• 过滤 “…/” “./” 等特殊字符。

跨站脚本攻击

漏洞描述

当应用程序的新网页中包含不受信任的、未经恰当验证或转义的数据时，或者使