1.4.1 Web浏览器

没有比浏览器再简单的工具了,有时这是进行巧妙的Web应用程序攻击所需要的唯一工具。正如我们在本章开始时看到的,使用Web应用的图形工具可以启动简单却具有毁灭性的程序,比如有效绕过登录的SQL注入(参见图1-1)。

当然,你也可以篡改浏览器地址栏中的URI文本并按下发送按钮。图1-2展示了这么做有多么容易,说明了在Foundstone的Hacme银行示例应用中将账户类型从白银账户提升为白金账户的方法。

这很容易,不是吗?

浏览器有两个基本的缺点:第一,它们自己进行幕后的URI篡改(例如,IE剥离..\,较新的版本甚至拦截跨站脚本);第二,你不能从浏览器地址栏改变PUT请求的内容(当然,你可以在本地保存页面,编辑并且重新提交,但是谁愿意在分析一个大应用时进行这样重复无数次呢?)

对这个问题的简单解决方案正是我们接下来要讨论的,基于浏览器扩展的HTTP篡改工具。

图1-2 使用基本的Web浏览器来攻击Foundstone的Hacme银行应用。简单的垂直提升攻击以圆圈标出