渗透测试步骤

(1)尝试始终通过使用斜线与反斜线的路径遍历序列进行测试。许多输入过滤仅检查其一种序列,而文件系统却支持全部两种序列。

(2)尝试使用下面的编码方案,对遍历序列进行简单的URL编码。一定要对输入中的每个斜线与点进行编码:

img296a

(3)尝试使用下面的16位Unicode编码:

img296b

(4)尝试使用下面的双倍URL编码:

img296c

(5)尝试使用下面的超长UTF-8 Unicode编码:

img297a

可以在Burp Intruder中使用非法Unicode有效载荷类型为任何特殊字符生成大量其他形式的表示法,并将它提交到目标参数的相关位置。这些表示法严重违反了Unicode表示法规则,但却为许多Unicode解码器接受,特别是Windows平台上的解码器。

(6)如果应用程序尝试通过删除遍历序列来净化用户输入,但没有以递归的方式应用这种过滤,那么可以用一个序列替换另一个序列来避开过滤。例如:

img297b