【Web安全】先进技术WebSocket下安全测试

什么是WebSocket

WebSockets 是一种先进的技术。它可以在用户的浏览器和服务器之间打开交互式通信会话。允许浏览器和服务器建立单个TCP连接然后进行全双工异步通信。允许实时更新，浏览器也无需向后台发送数百个新的HTTP 请求，所以对于web程序来说，WebSocket非常流行

在一次授权的APP渗透测试中，发现客服系统走的websocket

测试了几个功能，抓到了upload的websocket接口

经过测试发现存在任意文件上传，且可以通过…/…/控制上传文件夹，文件名也没经过后端处理强制改名。
该站环境为Linux+nginx+各种前端框架堆起来的站，框架漏洞暂未发现，各个语言的后门也都不提供解析

也想过通过上传html来构造xss，但是该站采用了authorization授权，xss暂时作用不大。

随后利用上传"定时任务"成功获取了服务器权限。
利用过程：
…/…/…/…/…/…/…/…/…/var/spool/cron/root 控制文件上传位置到定时任务处

上传反弹shell

nc监听泡杯咖啡～静待一分钟

GetShell

点我头像看我主页更多爽文，关注我，持续更新！！！

【Web安全】先进技术WebSocket下安全测试相关推荐

web无序列表去掉点_无序列表ul标记的type属性值可以为-智慧树Web前端开发技术（山东联盟）章节答案...
Web前端开发技术(山东联盟):无序列表ul标记的type属性值可以为[多选题] A:square B:circle C:disc D:line Web前端开发技术(山东联盟)章节测试答案: squa ...
干货时间：聊聊DevOps下的技术系列之契约测试
摘要:本期和大家简单聊聊在服务交互场景下使用服务契约的重要性,以及契约管理的必要性,最后简单介绍了下契约测试. 1.服务交互带来的问题在上一篇文章中,我们系统的列举了DevOps各个流程中常用的测试 ...
测试攻城狮必备技能点！一文带你解读DevOps下的测试技术
[摘要]本文将从DevOps模式下对测试人员的活动的变化,以及常用的测试技术层面进行解读. 项目的软件开发模式主要经历瀑布模型.敏捷开发和DevOps这几个阶段,其中DevOps主要解决开发和运维.运 ...
CentOS下搭建测试WEB平台
CentOS下搭建测试WEB平台 LAMP MYSQL 下载免编译的软件包 cd /usr/local/src wget http://mirrors.sohu.com/mysql/MySQL-5.1 ...
【半导体先进工艺制程技术系列】SOI技术（下）
SOI技术简介.SIMOX技术.BESOI技术.Smart-Cut技术详见:<[半导体先进工艺制程技术系列]SOI技术(上)> PD-SOI技术.翘曲效应.寄生双极晶体管效应.自加热效应. ...
Web前端开发技术期末测试及解析一
一.选择题(每题 1 分,共 20 分) HTML 指的是( ). (A)超链接的文本标记语言 (B)超文本标识语言 (C)家庭工具标记语言 (D)以上都不是 [答案]B 下列能够实现美化页面的语言是 ...
资深测试专家陈永康谈物联网下的测试挑战
陈永康:谢谢大家,我先做个自我介绍,我是陈永康,做了15年的测试,今天很荣幸受Testin邀请,来到北京给大家分享一下物联网测试的一些理解,也欢迎大家一起来交流.希望通过今天半个小时的分享,让大家知道 ...
虚拟研讨会:移动Web应用开发技术最新动态
虚拟研讨会:移动Web应用开发技术最新动态 2011年03月02日为了掌握移动Web应用开发的最新动态,InfoQ邀请一些该领域最流行的库.工具和框架的缔造者,组织了一场虚拟研讨会. Michael ...
web前端主要技术概述
web前端主要技术概述参考资料: 2018 Web 开发者路线图 2017年前端框架.类库.工具大比拼本文主要是介绍部分主流和新兴的web前端技术,希望能帮助想学web前端的小白,理清其技术学习路 ...

【Web安全】先进技术WebSocket下安全测试

什么是WebSocket

【Web安全】先进技术WebSocket下安全测试相关推荐

最新文章

热门文章