Web安全测试规范(8)

文档名称

文档密级

7、 分析结果 预期结果 备注 测试结果 所有对目录的访问均不能打印出文件列表。 3.3.5 文件归档测试

编号 测试用例名称 测试目的 SEC_Web_ DIR_05 文件归档测试 在网站管理员的维护过程中，很多情况下会对程序或者页面进行备份（可能是有意的或者是无意的，如ultraedit在修改后会生成文件名加bak后缀的文件）。攻击者通过直接访问这些备份的路径可以下载文件 用例级别 测试条件 1 1、 拥有运行Web服务器的操作系统帐号和口令 2、 Web业务运行正常 执行步骤 1、 登陆后台Web服务器的操作系统 2、 以cd命令进入可以通过Web方式访问的目录（比如tomcat服务器的$home/webapps目录，jboss服务器的$home/jboss/server/default/deploy目录） 3、 用find命令，查找是否存在以下备份文件，如果存在则测试不通过。 find ./ -name \find ./ -name \

find ./ -name \find ./ -name \find ./ -name \find ./ -name \find ./ -name \find ./ -name \find ./ -name \find ./ -name \find ./ -name \find ./ -name \find ./ -name \find ./ -name \find ./ -name \find ./ -name \预期结果 可以通过Web方式访问的目录，不存在开发过程（包括现场定制）中的产生的临时文件、备份文件等。 备注 测试结果 文档名称