随着因特网的不断发展，人们对网络的使用越来越频繁，通过网络进行购物、支付等其他业务操作。而一个潜在的问题是网络的安全性如何保证，一些黑客利用站点安全性的漏洞来窃取用户的信息，使用户的个人信息泄漏，所以站点的安全性变得很重要。

Web 系统的安全性测试包括以下内容：

(1)Web 漏洞扫描

(2)服务器端信息测试

(3)文件和目录测试

(4)认证测试

(5)会话管理测试

(6)权限管理测试

(7)文件上传下载测试

(8)信息泄漏测试

(9)输入数据测试

(10)跨站脚本攻击测试

(11)逻辑测试

(12)搜索引擎信息测试

(13)Web Service 测试

(14)其他测试

本章节主要给大家介绍第(7)点——文件上传下载测试

文件上传下载测试包括两方面内容：一是文件上传;二是文件下载。文件上传主要是测试系统是否对从客户端提交的上传文件进行约束，不能让用户在客户端随意提交任何文件。文件下载主要是测试在下载时是否存在跨越目录、越权的情况。

(1)文件上传测试

现在很多网站都提供文件上传功能，如果在服务器端没有对上传文件的类型、大小、保存的路径及文件名进行严格限制，攻击者就很容易上传后门程序取得WebShell，从而控制服务器。测试

步骤如下：

步骤1：登录网站，并打开文件上传页面。

步骤2：单击“浏览”按钮，并选择本地的一个JSP 文件(如test.jsp)，确认上传。

步骤3：如果客户端脚本限制了上传文件的类型(如允许gif 文件)，则把test.jsp 更名为test.gif;配置HTTP Proxy使用WebScarab 工具对HTTP 进行请求拦截;重新单击“浏览”按钮，并选择test.gif，确认上传。

步骤4：在WebScarab 拦截的HTTP 请求数据中，将test.gif 修改为test.jsp，再发送请求数据。

步骤5：登录后台服务器，用命令find/-name test.jsp 查看test.jsp 文件存放的路径。如果可以直接以Web 方式访问，则构造访问的URL，并通过浏览器访问test.jsp，如果可以正常访问，则已经取得WebShell，测试结束。如果无法访问，例如test.jsp 存放在/home/tomcat/目录下，而/home/tomcat/webapps 目录对应，则进行下一步操作。

步骤6：重复步骤1～3，在WebScarab 拦截的HTTP 请求数据中，将test.gif 修改为test.jsp，再发送请求数据。

步骤7：在浏览器地址栏中输入，访问该后门程序，取得WebShell，结束测试。

预期结果：服务器端对上传文件的类型、大小、保存的路径及文件名进行严格限制，确保无法上传后门程序。

(2)文件下载测试

现在很多网站提供文件下载功能，如果网站对用户下载文件的权限控制不严，攻击者就很容易利用目录跨越、越权下载，下载一些权限外的资料(比如其他用户的私有、敏感文件)。

如某下载页面URL(假设该页面是某用户的个人信息，对应的URL 为)，测试时可以猜测并更改URL 路径，对URL 进行访问：

……

观察页面返回信息，如果可以越权获取到其他用户的私有、敏感文件，则说明存在漏洞。

而一些网站接受类似于文件名的参数用于下载或显示文件内容，如果服务器未对这种情况进行严格判断，攻击者同样可以通过修改这个参数值来下载、读取任意文件，比如/etc/password 文件。测试时可以更改URL 对其进行测试。

……

对于UNIX/Linux 服务器可以尝试下载/etc/passwd 文件，对于Windows 服务器可以尝试下载　c:\boot.ini 文件。

观察页面返回信息，如果可以下载/etc/passwd 或c:\boot.ini 文件的信息，说明下载文件有漏洞。