Web安全测试实战之测试HTTP方法

举报
jz 发表于 2017/12/30 10:01:40 2017/12/30
【摘要】 1、 Http方法测试有些Web服务器默认情况下开放了一些不必要的HTTP方法(如DELETE、PUT、TRACE、MOVE、COPY),这样就增加了受攻击面。测试方法:1、打开webscarab,找到manual request这个标签2、在Request的Parsed的Method中填入OPTIONS3、在URL中填入我们的待测环境中的一个静态页面4、在Version中填入HTTP/1.0

1 Http方法测试

有些Web服务器默认情况下开放了一些不必要的HTTP方法(如DELETEPUTTRACEMOVECOPY),这样就增加了受攻击面。

测试方法:

1、打开webscarab,找到manual request这个标签

2、在RequestParsedMethod中填入OPTIONS

3、在URL中填入我们的待测环境中的一个静态页面

4、在Version中填入HTTP/1.0  或者HTTP/1.1

5、完善好之后点击fetch Response按钮

6、查看其响应



2 Http Put方法测试

有些Web服务器开放了PUT方法,攻击者能够通过该方法上传任意文件到Web服务器的一些目录中去。包括Web木马程序。

测试方法:

1、打开webscarab,找到manual request这个标签

2、在RequestParsedMethod中填入PUT

3、在URL中填入待测试环境下一个存在目录下的一个不存在的文件

4、在Version中填入HTTP/1.0  或者HTTP/1.1

5、完善好之后点击Parsed旁边的Raw标签

在内容的尾部添加2个回车

并随便输入点内容

6、完成之后点击fetch Response按钮

7、查看其响应

8、去服务器的对应目录上检查是否出现相应文件

 

3、   Http Trace方法测试:

有些Web服务器开放了TRACE方法(主要是用于客户端通过向Web服务器提交TRACE请求来进行测试或获得诊断信息),攻击者能够通过该方法构造跨站攻击。

测试方法同前面的OPTIONPUT方法

Method:TRACE

URL:任意待测试环境的URL

Version:HTTP/1.0HTTP/1.1



4 Http Delete方法:

有些Web服务器开放了DELETE方法,攻击者能够通过该方法删除Web服务器上的文件。

测试方法同前面的OPTIONPUT方法

Method:DELETE

URL:任意需要删除的页面

version:HTTP/1.0HTTP/1.1

 


【版权声明】本文为华为云社区用户原创内容,转载时必须标注文章的来源(华为云社区)、文章链接、文章作者等基本信息, 否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容,欢迎发送邮件进行举报,并提供相关证据,一经查实,本社区将立刻删除涉嫌侵权内容,举报邮箱: cloudbbs@huaweicloud.com
  • 点赞
  • 收藏
  • 关注作者

评论(0

0/1000
抱歉,系统识别当前为高风险访问,暂不支持该操作

全部回复

上滑加载中

设置昵称

在此一键设置昵称,即可参与社区互动!

*长度不超过10个汉字或20个英文字符,设置后3个月内不可修改。

*长度不超过10个汉字或20个英文字符,设置后3个月内不可修改。