Web应用程序的安全性问题依其存在的形势划分，种类繁多，这里不准备介绍所有的，只介绍常见的一些。

常见Web应用安全问题安全性问题的列表：

　　１、跨站脚本攻击(CSS or XSS, Cross Site Scripting)
　　２、SQL注入攻击(SQL injection)
　　３、远程命令执行(Code execution，个人觉得译成代码执行并不确切)
　　４、目录遍历(Directory traversal)
　　５、文件包含(File inclusion)
　　６、脚本代码暴露(Script source code disclosure)
　　７、Http请求头的额外的回车换行符注入(CRLF injection/HTTP response splitting)
　　８、跨帧脚本攻击(Cross Frame Scripting)
　　９、PHP代码注入(PHP code injection)
　　１０、XPath injection
　　１１、Cookie篡改(Cookie manipulation)
　　１２、URL重定向(URL redirection)
　　１３、Blind SQL/XPath injection for numeric/String inputs
　　１４、Google Hacking

目录遍历(Directory traversal)

　　部分朋友应该知道之前我在我的blog里公布了ah163.net上的一个安全漏洞，安全级别高：极度危险，由于我没有公布细节，大家都比较好奇想知道是什么。出于对同行的尊重我就删除了漏洞公布这一栏的内容了。我已经通知ah163.net的同行了，他们已经fix那个问题。

今天我们就讲讲这个漏洞。love.ah163.net上有网络硬盘服务，当注册用户登录并开通网络硬盘服务后，即可进入自己的硬盘管理界面，我们来看看它是如何进入某一个目录的，以下是进入某一目录的ＵＲＬ：　　http://love.ah163.net/Personal_Spaces_List.php?dir=MyFolder

那现在我把这个ＵＲＬ改装一下：http://love.ah163.net/Personal_Spaces_List.php?dir=../../../../../../../../../../../../../usr/local/apache/conf/

在浏览器里运行它，会是什么结果呢？结果是：/usr/local/apache/conf/里的所有文件都老老实实的列出来了，通过这种方式，你可以发挥你的想象了，服务器上的东东是不是都差不多可以列出来了？告诉你，还可以随便下载呢！网络硬盘嘛，就是用来上传下载的，所以它提供的功能很完备，破坏性也就很强了。至于它的危害有多大，你自己想去吧，我就不危言耸听了。

　　简要的解决方案:

１、同样是限制Web应用在服务器上的运行

２、进行严格的输入验证，控制用户输入非法路径

本文来自：http://blog.csdn.net/iwebsecurity/article/details/1693877

【常见Web应用安全问题】---4、Directory traversal相关推荐

【常见Web应用安全问题】
http://blog.csdn.net/yefan2222/article/details/7094622 Web应用程序的安全性问题依其存在的形势划分,种类繁多,这里不准备介绍所有的,只介绍常见的 ...
【常见Web应用安全问题】---1、Cross Site Scripting
Web应用程序的安全性问题依其存在的形势划分,种类繁多,这里不准备介绍所有的,只介绍常见的一些. 常见Web应用安全问题安全性问题的列表: 1.跨站脚本攻击(CSS or XSS, Cross Si ...
3 Directory traversal
3 Directory traversal目录遍历攻击目录 3 Directory traversal目录遍历攻击一.What 二.通过目录遍历读取任意文件 Lab: File path trav ...
常见web安全隐患及解决方案
Abstract 有关于WEB服务以及web应用的一些安全隐患总结资料. 1. 常见web安全隐患 1.1. 完全信赖用户提交内容开发人员决不能相信一个来自外部的数据.不管它来自用户提交 ...
聊聊directory traversal attack
序本文主要研究一下directory traversal attack及其防范 directory traversal attack 又称Path Traversal attack,即目录遍历攻击, ...
十大常见web漏洞及防范
十大常见web漏洞一.SQL注入漏洞 SQL注入攻击(SQL Injection),简称注入攻击.SQL注入,被广泛用于非法获取网站控制权,是发生在应用程序的数据库层上的安全漏洞.在设计程序,忽略了 ...
【每日三省吾身】常见Web漏洞基本原理
常见Web漏洞基本原理前言一.SQL注入二.CSRF攻击,跨站请求伪造三.XSS漏洞总结前言一.SQL注入这是在输入的字符串中注入了SQL指令,在设计不良的程序当中忽略了检查,那么 ...
常见WEB漏洞原理分析
一.SQL注入漏洞 SQL注入攻击(SQL Injection),简称注入攻击.SQL注入,被广泛用于非法获取网站控制权,是发生在应用程序的数据库层上的安全漏洞.在设计程序,忽略了对输入字符串中夹带的 ...
常见web漏洞及防范（转）
单个漏洞,需要进行排查与整改,借着别人的智慧,做一个简单的收集.最好能够将常见漏洞,不限于web类的,进行一个统一的整理.这是今年的任务. 进行漏洞的工具的收集,为未来的工作做好基础... 一.SQL ...

【常见Web应用安全问题】---4、Directory traversal

目录遍历(Directory traversal)

简要的解决方案:

【常见Web应用安全问题】---4、Directory traversal相关推荐

最新文章

热门文章