Web安全测试规范(6)

3、 测试用机安装了IISPUTScanner测试工具 执行步骤 1、 运行IISPUTScanner.exe 2、 在Start IP和End IP输入框中输入Web服务器的IP地址，在Port输入框中输入对应的端口，选中“Try to upload file”和“Try on other systems”，如图： 文档名称

文档密级

3、 点击Scan按钮 4、 观察扫描结果 预期结果 工具的“PUT”栏的值不为“YES”，Web服务器上没有新创建的alert.txt文件（http://www.example.com/alert.txt请求不到文件） 备注 测试结果 本测试适用于所有的Web服务器，不仅仅是IIS。 3.2.5 HTTP DELETE方法测试

编号 测试用例名称 测试目的 SEC_Web_ SERVERINFO_03 HTTP DELETE方法测试 有些Web服务器开放了DELETE方法，攻击者能够通过该方法删除Web服务器上的文件。 用例级别 测试条件 1 1、 已知Web网站IP地址 2、 Web业务正常运行 3、 Web网站存在/alert.txt文件（如果没有，手工创建） 执行步骤 1、 点击“开始”－“运行”，输入cmd并回车，运行cmd.exe 2、 输入telnet IP 端口 （其中IP和端口按实际情况填写，用空格隔开，比如：telnet 10.70.100.1 80） 3、 回车 4、 在新行中输入如下一行，并回车 DELETE /alert.txt HTTP/1.0 5、 查看Web服务器上alert.txt是否被删除 预期结果 备注 Web服务器上alert.txt文件依然存在 由于不同的Web服务器支持的HTTP协议版本不同，如果系统不支持HTTP/1.0，那么步骤4返回 “HTTP/1.0 400 Bad Request”；这种情况下，应该更改步骤4的输入行

为DELETE /index.jsp HTTP/1.0 测试结果 文档名称

文档密级

3.2.6 HTTP TRACE方法测试

编号 测试用例名称 测试目的 SEC_Web_ SERVERINFO_03 HTTP TRACE方法测试 有些Web服务器开放了TRACE方法（主要是用于客户端通过向Web服务器提交TRACE请求来进行测试或获得诊断信息），攻击者能够通过该方法构造跨站攻击。 用例级别 测试条件 执行步骤 1 1、 已知Web网站IP地址 2、 Web业务正常运行 1、 点击“开始”－“运行”，输入cmd并回车，运行cmd.exe 2、 输入telnet IP 端口 （其中IP和端口按实际情况填写，用空格隔开，比如：telnet 10.70.100.1 80） 3、 回车 4、 在新行中输入如下一行，并回车 TRACE / HTTP/1.0 5、 观察返回结果 预期结果 备注 Web服务器的返回信息提示Trace方法“not allowed” 由于不同的Web服务器支持的HTTP协议版本不同，如果系统不支持HTTP/1.0，那么步骤4返回 “HTTP/1.0 400 Bad Request”；这种情况下，应该更改步骤4的输入行为TRACE / HTTP/1.0 测试结果 3.2.7 HTTP MOVE方法测试

编号 测试用例名称 测试目的 SEC_Web_ SERVERINFO_03 HTTP MOVE方法测试 有些Web服务器开放了MOVE方法，用于请求服务器将指定的页面移到另一个网络地址，该方法不安全，容易被利用。 用例级别 测试条件 执行步骤 1 1、 已知Web网站IP地址 2、 Web业务正常运行 1、 点击“开始”－“运行”，输入cmd并回车，运行cmd.exe

2、 输入telnet IP 端口 （其中IP和端口按实际情况填写，用空格隔开，比如：telnet 10.70.100.1 80） 3、 回车 4、 在新行中输入如下一行，并回车 MOVE /test/a.html /a.html HTTP/1.0 5、 观察返回结果 预期结果 备注 Web服务器的返回信息提示MOVE方法“not supported” 由于不同的Web服务器支持的HTTP协议版本不同，如果系统不支持HTTP/1.0，那么步骤4返回 “HTTP/1.0 400 Bad Request”；这种情况下，应该更改步骤4的输入行为MOVE /test/a.html /a.html HTTP/1.1 测试结果 文档名称

文档密级

3.2.8 HTTP COPY方法测试

编号 测试用例名称 测试目的 SEC_Web_ SERVERINFO_03 HTTP COPY方法测试 有些Web服务器开放了COPY方法，用于请求服务器将指定的页面拷贝到另一个网络地址，该方法不安全，容易被利用。 用例级别 测试条件 执行步骤 1 1、 已知Web网站IP地址 2、 Web业务正常运行 1、 点击“开始”－“运行”，输入cmd并回车，运行cmd.exe 2、 输入telnet IP 端口 （其中IP和端口按实际情况填写，用空格隔开，比如：telnet 10.70.100.1 80） 3、 回车 4、 在新行中输入如下一行，并回车 COPY /test/a.html /a.html HTTP/1.0 5、 观察返回结果 预期结果 备注 Web服务器的返回信息提示COPY方法“not supported” 由于不同的Web服务器支持的HTTP协议版本不同，如果系统不支持HTTP/1.0，那么步骤4返回 “HTTP/1.0 400 Bad Request”；这种情况下，应该更改步骤4的输入行为COPY /test/a.html /a.html HTTP/1.1 测试结果

文档名称

文档密级

3.2.9 Web服务器版本信息收集

编号 测试用例名称 测试目的 SEC_Web_ SERVERINFO_05 Web服务器版本信息收集 一些情况下，Web服务器能通过隐藏或者修改banner信息的方式防止黑客攻击。这时候我们需要使用不依靠服务器Server标题头的扫描方式进行服务器类型、版本判断。 用例级别 测试条件 4 1、 Web业务运行正常 2、 已知Web服务器域名或IP地址 3、 测试用机安装了httprint（Windows环境） 执行步骤 1、 运行Httprint_gui.exe 2、 在Host列中输入主机域名（如果没有域名则输入IP地址），在端口列中输入端口号。如果为HTTPS则要选择锁图标下面的选择框。 3、 点击程序下方的运行按钮

文档名称

文档密级

4、 观察程序输出的结果 预期结果 备注 测试结果 不能够得到Web服务器准确的版本信息

3.3 文件、目录测试

3.3.1 工具方式的敏感接口遍历

编号 测试用例名称 测试目的 SEC_Web_DIR_01 工具方式的敏感接口遍历 网站目录查找是进行攻击的必备知识，只有知道了目录信息才能确定攻击的目标，进行目录查找是测试的首要阶段，一般扫描工具进行扫描前首先要进行目录查找。其次对于某些隐藏的管理接口（目录或文件），虽然没有对外有明显的链接，但是通过一系列有特定含义的枚举是可以访问的。 用例级别 测试条件 2 1、 Web业务运行正常 2、 已知目标网站的域名或IP地址 3、 测试用机上需安装JRE 4、 测试用机上有DirBuster软件 执行步骤 1、 双击运行DirBuster.jar 2、 在host栏中填入目标IP地址或域名，在Port栏中输入服务器对应的端口；如果服务器只接受HTTPS请求，则需要选择Protocol为HTTPS