通过查询字符串或参数访问文件系统
我的任务是通过 request.param 和查询字符串重现问题/测试对文件系统的未经授权的访问。
例如我有这样的东西。 request.querystring("废话"); 有人如何在查询字符串中传递“../../../b1/b2”并访问文件系统。
这可能与跨站脚本有关。
需要帮助……至少提供资源。提前致谢。
I have been given a task of reproducing the issue/testing the unauthorized access to file system through request.param and query string.
For instance i have something like this. request.querystring("blah");
How could somebody pass "../../../b1/b2" in the query string and access file system.
This may be related to cross site scripting.
Need help..at least provide resources. Thanks in advance.
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
希望我能提供一个明确的答案，但至少可以引导您走向某个方向。不确定您对 request.querystring() 确实负责有多大信心，但一些可能性是：
目录遍历/路径遍历：
概述：http://en.wikipedia.org/wiki/Directory_traversal
测试：http://www.owasp.org/index.php/Testing_for_Path_Traversal< br>
远程文件包含：
概述：http://en.wikipedia.org/ wiki/Remote_file_inclusion
教程：http://www.offectivecomputing.net/?q=node/624 （KnightLighter 的教程）
希望这能让您朝着正确的方向前进。
Wish I could provide a definitive answer, but can at least steer you in some direction. Not sure how confident you are that request.querystring() was indeed responsible, but some possibilities are:
Directory Traversal/Path Traversal:
Overview: http://en.wikipedia.org/wiki/Directory_traversal
Testing For: http://www.owasp.org/index.php/Testing_for_Path_Traversal
Remote File Inclusion:
Overview: http://en.wikipedia.org/wiki/Remote_file_inclusion
Tutorial: http://www.offensivecomputing.net/?q=node/624 (KnightLighter's Tutorial)
Hope this moves you in the right direction.