您位于: 首页 OWASP培训 上传攻击框架

上传攻击框架

时间:         2011年9月20日晚上8:00-9:00
内容:         上传攻击框架免费交流培训
人数:         不限
培训方式: 在线培训
主讲人:      胡浪宇
报名方式   请提供会员编号发邮件到project邮箱申请。(本次培训为OWASP中国区会员免费提供,非会员可先免费加入OWASP中国

主讲人简介:

胡浪宇,现为成都信息工程学院本科大四在校学生,学校三叶草安全团队成员,大三时担任团队Leader和实习于阿里巴巴集团安全中心,喜欢研究渗透测试、web安全、黑客竞赛、无线电安全、物理安全。

前言:

在现在越来越安全的体系下,sql injection 这类漏洞已经很难在安全性较高的站点出现,比如一些不错的.NET 或JAVA 的框架基本上都是参数化传递用户输入,直接封死注入攻击。而在非php的web安全中最有威力的攻击主要有两种,第一种是sql injection,第二种便是上传攻击。(php的还有文件包含或代码注入漏洞等)

通常web站点会有用户注册功能,而当用户登入之后大多数情况下都会存在类似头像上传,附件上传一类的功能,这些功能点往往存在上传验证方式不严格的安全缺陷,是在web渗透中非常关键的突破口,只要经过仔细测试分析来绕过上传验证机制,往往会造成被攻击者直接上传web后门,进而控制整个web业务的控制权,复杂一点的情况是结合web server的解析漏洞来上传后门获取权限。

00 上传检测流程概述
01 客户端检测绕过(javascript检测)
02 服务端检测绕过(MIME类型检测)
03 服务器检测绕过(目录路径检测)
04 服务端检测绕过(文件扩展名检测)
05 服务端检测绕过(文件内容检测)     
06 解析攻击
07 上传攻击框架

资料下载:

Upload Attack Framework Version 1.0