Принципы и методы испытаний
WebService — это кросс-платформенный язык программирования и технология удаленных вызовов для кроссплатформенных операционных систем. XML+XSD, SOAP (простой протокол доступа к объектам) и WSDL (язык описания веб-сервисов) — это три основные технологии, составляющие платформу WebService, среди которых XML+XSD используется для описания и выражения передаваемых данных; используется SOAP для обмена закодированной в XML информацией Облегченный протокол, обычно использующий XML или XSD в качестве носителя, отправляет запросы и получает результаты через протокол HTTP, а протокол SOAP добавит некоторые специфические заголовки HTTP-сообщений на основе протокола HTTP; WSDL — это Протокол на основе XML, используемый для описания Интернета. Язык сервисов и их функций, параметров и возвращаемых значений.
Из приведенного выше описания мы можем узнать, что WebService — это приложение, которое предоставляет API, который можно вызывать через Интернет для внешнего мира. Этот API получает параметры, введенные пользователем, а затем возвращает соответствующий контент данных. Если WebService полностью доверяет пользовательскому вводу без фильтрации, это может привести к уязвимостям внедрения SOL.
Процесс тестирования
Как показано на рисунке, перед тестом злоумышленник находит ссылку WebService сервера с помощью сканеров или сканирования каталогов, а затем использует функцию редактора веб-служб WVS (сканер веб-уязвимостей) для импорта различных функций интерфейса и использует ключевые слова ( например Get, Exec ) Найдите соответствующие функции интерфейса и проверьте входные параметры каждой функции интерфейса (такие как внедрение SOL, загрузка файлов и т. д.) через HTTPEditor.Если произойдет ожидаемый эффект (например, отчет об ошибках базы данных, различные задержки д.), есть лазейка.
Шаг 1. Найдите WebService сервера