２０１３年第Ｏ１期 ■ｄｏｉ：１０ ３９６９￣ｉｓｓｎ １６７１—１１２２ ２０１３ ０１ ０２１ 自动化Ｗ ｅ ｂ安全测试的 局限及手工测试方法 孙歆 ，韩嘉佳 ，唐秋杭 （１．浙江省电力公司电力科学研究院，浙江杭州３１００１４；２．浙江省电力设计院，浙江杭州３１００１２） 摘要：如今Ｗｅｂ安全已受到企业的极大关注，市面上的自动化Ｗｅｂ安全测试工具也层出不穷。由于 自动４￣－ｒ－具在检测过程中存在漏报现象，故完全信任自动化工具的检测结果往往会造成测试不全面、严重漏 洞未检出等情况，给企业带来风险。文章探讨自动化Ｗｅｂ安全测试工具漏报情况及其原理，并给出相关的 手工测试方案。 关键词：ｗｅｂ安全；自动化ｗｅｂ安全测试；ＮＡＸ；Ｗｅｂｓｅｒｖｉｃｅ；手工安全测试 中图分类号：ＴＰ３９３．０８ 文献标识码：Ａ 文章编号：１６７１—１１２２（２０１３）Ｏ１—００７９—０３ Ｄｉｓｃｕｓｓｉｏｎ ｏｎ ｔｈｅ Ｌｉｍｉｔｓ ｏｆＡｕｔｏｍａｔｅｄ Ｗｅｂ Ｓｅｃｕｒｉｔｙ Ｔｅｓｔｉｎｇ Ｔｏｏｌｓ ａｎｄ Ｍａｎｕａｌ Ｔｅｓｔｉｎｇ Ｍｅｔｈｏｄ ＳＵＮ Ｘｉｎ ，ＨＡＮ Ｊｉａ－ｊｉａ ，ＴＡＮＧ Ｑｉｕ—ｈａｎｇ （１．ＺＪＰＥＰＣＥｌｅｃｔｒｉｃＰｏｗｅｒＲｅｓｅａｒｃｈＩｎｓｔｉｔｕｔｅ，ＨａｎｇｚｈｏｕＺｈｅｊｉａｎｇ ３１００１４，Ｃｈｉｎａ，＂ ２．Ｚｈ￣ｉａｎｇＥｌｅｃｔｒｉｃＰｏｗｅｒＤｅｓｉｇｎＩｎｓｔｉｔｕｔｅ，ＨａｎｇｚｈｏｕＺｈ￣ｉａｎｇ３１００１２，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ｎｏｗａｄａｙｓ Ｗｅｂ ｓｅｃｕｒｉｔｙ ｈａｓ ｂｅｅｎ ａ ｇｒｅａｔ ｃｏｎｃｅｒｎ．Ｗｅ ｃａｎ ｉｎｄ ｖａｒｉｆｅｔｉｅｓ ｏｆ ａｕｔｏｍａｔｅｄ Ｗｅｂ ｓｅｃｕｒｉｔｙ ｔｅｓｔｉｎｇ ｔｏｏｌｓ ｏｎ ｔｈｅ ｍａｒｋｅｔ．Ｂｕｔ ａｕｔｏｍａｔｅｄ ｔｏｏｌｓ ｍａｙ ｐｒｏｄｕｃｅ ｆａｌｓｅ ｎｅｇａｔｉｖｅｓ．Ｉｆ ｗｅ ｆｕｌｌｙ ｔｒｕｓｔ ｔｈｅ ｒｅｓｕｌｔｓ ｏｆ ａｕｔｏｍａｔｅｄ ｔｏｏｌｓ，ｉｔ ｗｉｌｌ ｃａｕｓｅ ａｎ ｉｎｃｏｍｐｒｅｈｅｎｓｉｖｅ ｔｅｓｔｉｎｇ ｏｒ ｓｅｒｉｏｕｓ ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ ｎｏｔ ｄｅｔｅｃｔｅｄ ｗｈｉｃｈ ｗｉｌｌ ｂｒｉｎｇ ｉｓｋｓ ｒｔｏ ｔｈｅ ｏｒｇａｎｉｚａｔｉｏｎ．Ｔｈｉｓ ｐａｐｅｒ ｄｉｓｃｕｓｓｅｓ ｔｈｅ ｆａｌｓｅ ｎｅｇａｔｉｖｅ ｐｈｅｎｏｍｅｎｏｎ ａｎｄ ｉｔ’Ｓ ｐｒｉｎｃｉｐｌｅｓ ｏｆ ａｕｔｏｍａｔｅｄ Ｗｅｂ ｓｅｃｕｒｉｙ ｔｔｅｓｔｉｎｇ ｔｏｏｌｓ，ａｎｄ ｇｉｖｅｓ ｔｈｅ ｍｅｔｈｏｄ ｏｆｍａｎｕａｌ ｔｅｓｔｉｎｇ． Ｋｅｙ ｗｏｒｄｓ：ｗｅｂ ｓｅｃｕｒｉｙ；ａｕｔｏｍａｔｅｄ ｗｅｂ ｔｓｅｃｕｒｉｙ ｔｔｅｓｔｉｎｇ；ＡＪＡＸ；ｗｅｂｓｅｒｖｉｃｅ；ｍａｎｕａｌ ｓｅｃｕｒｉｔｙ ｔｅｓｔｉｎｇ ０引言 随着网银、网购、网游、微博等互联网应用越来越火爆，黑客利用ＳＱＬ注入、文件包含、Ｗｅｂｓｈｅｌｌ Ｉ￣传、远程命令执行等 手段控制服务器、篡改网页、窃取数据，给企业造成重大损失。所以Ｗｅｂ安全防护应从应用程序编码上去实现，对ＨＴＴＰ输入 输出数据进行严格验证和过滤，从根源上解决问题，不应单纯依赖外部的防护手段。安全测试是发现Ｗｅｂ安全漏洞的有效手段， 从黑盒的角度发送安全测试向量，通过目标系统的返回数据判断系统是否存在安全问题。本文分析了几种自动化Ｗｅｂ安全测试 工具的漏报情况，并给出相应的手工测试方案。 １自动化测试原理和局限 自动化Ｗｅｂ安全测试技术已日趋成熟和稳定，相关的产品也很多，例如ＩＢＭ Ａｐｐｓｃａｎ、Ａｃｕｎｅｔｉｘ ｗｅ１）Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｓｃａｎｎｅｒ等等， 还有一些厂家推出了在线云安全测试服务。自动化测试的原理是利用网页爬虫算法遍历网站的ＵＲＬ资源，识别每个ＵＲＬ的交互数据， 对数据进行有针对性的变异并进行重放测试，根据返回结果判断安全问题。整个测试过程自动化程度较高，无需太多配置即可完成。 随着ｗ幽２．０的兴起，ＡＪＡＸ、Ｗｅｂｓｅｒｖｉｅｅ等技术的广泛应用，如今的Ｗｅｂ应用交互方式不再只通过ＵＲＬ进行交互，而是通 过多种方式，所交互的数据格式也不尽相同 。自动化工具可能无法适应这种交互方式，部分安全风险无法被检测到，导致漏报。 对于安全测试来说，漏洞的漏报将造成极大的安全隐患，下面重点讨论几种典型的漏报情况。 １．１ ＡＪＡ× 当Ｗｅｂ应用使用了ＡＪＡＸ技术，ＨＴＴＰ交互将利用ＸｍｌＨｔｔｐＲｅｑｕｅｓｔ进行，使用Ｊａｖａｓｃｒｉｐｔ触发，接受ＨＴＴＰ请求的脚本往往 ● 收稿时间：２０１２—０９—０３ 作者简介：孙歆（１９８１－），男，浙江，工程师，硕士，主要研究方向：电力信息安全测评；韩嘉佳（１９８３一），女，浙江，工程师，本科，主要研究方向 电力信息安全管理；唐秋杭（１９８１一），女，浙江，工程师，硕士，主要研究方向：控制系统设计。 ７９ Ｉｌ— — ２０１３年第０１期 并未与任何ＵＲＬ进行链接，处于游离状态。传统的自动化工 进行安全测试。如果是自定义报文，只能通过经验人为识别 具爬虫无法抓取到这类请求，也就无法对这些交互进行测试。 字段了。 虽然不少自动化工具已做出针对ｆ生的修改，支持ＡＪＡＸ交互方 正确识别报文中的数据格式，并提取报文中的交互数据， 式，但实际效果并不理想。 以便于后续的数据变异和Ｆｕｚｚｉｎｇ测试。 １．２ ＷｅｂＳｅｒｖｉｃｅ ２．３模糊测试 ＷｅｂＳｅｒｖｉｃｅ为应用系统提供了一种松耦合跨平台的接口方 在确认了服务器端需要测试的目标和所提交的数据字段 式，为不同系统的数据交互提供了极大便利。ＷｅｂＳｅｒｖｉｃｅ通 后，可对这些字段进行数据变异，有针对性的进行模糊测试。 常使用ＳＯＡＰ协议进行数据交互 ，ＳＯＡＰ实际上是对ＨＴＴＰ 这种模糊测试也被称为Ｉｎｔｅｌｌｉｇｅｎｔ ｆｕｚｚｉｎｇ，即根据协议和漏洞 主体数据进行再次封装，本质还是基于ＨＴＴＰ协议的，仍然 原理有针对性的模糊测试。 无法避免ＳＱＬ注入、文件包含等Ｗｅｂ安全风险。 模糊测试的范围不仅应包括自动化测试难以抓取的请求， １＿３防护绕过 如ＡＪＡＸ请求，还应选取部分已经过自动化工具测试的请求， 不少企业已经意识到Ｗｅｂ安全的重要性，对Ｗｅｂ应 因为工具可能会对不完全加固的漏洞产生漏报。下面探讨几种 用的代码进行了一定程度的加固，但如果这种加固没有防 针对ＳＱＬ注入、跨站脚本和上传文件的绕过技术。 护到位，仍然可能被攻击者绕过，比如ＰＨＰ应用开启了 ２．３．１ ＳＱＬ注入防护绕过 ｍａｇｉｃ—ｑｕｏｔｅ—ｇｐｃ选项，认为如此可避免注入。但这种方式无 ＳＱＬ注入防护一般会过滤单引号、空格等特殊字符，以及 法避免数字型注入，也无法防御ＰＨＰ宽字节注入。另外大小 ｓｅｌｅｃｔ、ｕｎｉｏｎ、ａｎｄ、ｄｅｌｅｔｅ、ｃｈｒ、ｉｎｓｅｒｔ等ＳＱＬ关键字。如果程 写混编、字符编码等方式均可能绕过防护程序。如果自动化 序只进行了简单的过滤而没有使用预编译处理ＳＱＬ语句，仍有 工具没有考虑到足够多的情况，很可能无法检测出经过一定程 可能绕过防护机制。以下是部分ＳＱＬ注入绕过的测试向量【４１： 度加固的Ｗｅｂ漏洞，出现漏报。 １）大小写混编绕过 如果在限制ＳＱＬ关键字时只考虑了小写字符，可用大小 ２手工测试方法 写混编绕过限制，如： 为保证安全测试的完整性和覆盖率，应将手工测试与自 ｉｄ＝ｌ’ｕＮｉｏＮ ｓＥｌｅＣＴ ｕｓｅｒｎａｍｅ，ｐａｓｓｗｏｒｄ ＦｒＯｍ ａｄｍｉｎ＿＿ 动化测试相结合，减少测试过程中的漏检情况。安全测试关 ２）注释绕过，可以使用块注释符 术／绕过空格的限制，例如： 注的焦点是ＨＴＴＰ报文的交互以及输入输出的关系，手工测 ｉｄ＝１’／ ／ｕｎｉｏｎ／ ／ｓｅｌｅｃｔ／ ／ｕｓｅｒｎａｍｅ／ ／．／ ／ｐａｓｓｗｏｒｄ／ ／ｆｒｏｍ／ ／ ａｄｍｉｎ———— 试作为自动化测试的补充，应关注自动化测试可能会疏漏的测 在Ｍｙｓｑｌ中甚至可通过块注释符绕过ＳＱＬ关键字的过滤， 试点。手工安全测试的过程为：通过代理工具获取所有请求， 如下列测试向量依然有效： 识别请求中可能存在问题的输入数据，对这些数据进行有针 ｉｄ＝ｌ’ｕｎ／＊ ｌｉｏｎ／＊＊／ｓｅｌ／ ＊／ｅｃｔ／ ／ｕｓｅｒｎａｍｅ／ ／，／ ／ｐａｓｓｗｏｒｄ／ ／ｆｒ／ ／ｏｒｅ／ ／ 对性的模糊测试并观测返回结果，判断安全问题。 ａｄｍｉｎ一一 ２．１获取完整的交互过程 ３）ＵＲＬ编码绕过，ＵＲＬ编码通常可被用于绕过防护设备， 对于广泛使用ＡＪＡＸ的Ｗｅｂ应用，在自动化扫描的同 由于ＷＡＦ等设备位于Ｗｅｂ服务器之前，如果ＷＡＦ单纯匹配 时，应重点针对较为隐蔽的ＨＴＴＰ请求进行手工测试，避免 关键而没有考虑ＵＲＬ的编解码，则可能会被绕过。有些应用 自动化工具遗漏某些重要的交互过程。目前较为成熟的Ｗｅｂ 程序会在服务端对数据进行一次ＵＲＬ解码，但其防护程序没 安全扫描工具都提供代理扫描或者被动扫描方式，即是通 有考虑到这点，导致无法拦截两次ＵＲＬ编码的攻击，而服务 过测试人员手工触发请求后再通过工具进行检测。也可使用 器端通过解码后仍可正常运行。 Ｗｅｂｓｃａｒａｂ、Ｂｕｒｐ ｓｕｉｔｅ等代理攻击工具抓包后进行数据包变 ４）十六进制编码绕过，利用ＳＱＬＳｅｒｖｅｒ的动态查询功能 异重放测试 】。获取完整的ＨＴＴＰ交互过程是保证测试完整 将ＳＱＬ语句转化为十六进制，绕过ＳＱＬ关键字的限制，例如： 性的前提条件。 ｉｄ＝ｌ’；ｄｅｃｌａｒｅ＠ａ ｖａｒｃｈａｒ（１００）ｓｅｌｅｃｔ＠ａ＝０ｘ７３６５６Ｃ６５６３７４２０７５７３６５７２６Ｅ ６１６Ｄ６５２ｃ７０６ｌ７３７３７７６Ｆ７２６４２０６６７２６Ｆ６Ｄ２Ｏ６１６４６Ｄ６９６Ｅ ｅｘｅｃ（＠ａ）；一一 ２．２正确识别交互数据 当ＨＴＴＰ请求报文中包含ＳＯＡＰ、ＡＭＦ等应用协议 ５）＝＜＞等比较符号限制绕过，当＝＜＞等比较符号被过 时，需要通过代理工具对这些请求进行手工测试。如针对 滤时，可利用ＬＩＫＥ、ＩＮ、ＢＥＴＷＥＥＮ等运算符替代。例如： ｉｄ＝１’ｕｎｉｏｎ ｓｅｌｅｃｔ ｕｓｅｒｎａｍｅ，ｐａｓｓｗｏｒｄ ｆｒｏｍ ａｄｍｉｎ ｗｈｅｒｅ ｕｓｅｒｎａｍｅ ＬＩＫＥ’ １．２节中的ＳＯＡＰ报文，可以将Ｐｏｓｔｌｄ区段的数据修改为 ａｄｍｉｎ’一一 ＜ＰｏｓｔＩｄ＞３３０１２２３４’ａｎｄ’１’＝’ｌ＜／ＰｏｓｔＩｄ＞并重放，进行ＳＱＬ注 ６）关键字过滤绕过，有些过滤器检测到有害的字符串时， 入的测试。另外，Ｂｕｒｐ ｓｕｉｔｅ支持ＡＭＦ协议，可对ＦＬＥＸ应用 会直接将该字符串过滤后继续执行。构造如下语句，通过过滤器 ＿ｌＩ ８０ ２０１３年第Ｏ１期 后会删除ＳＱＬ关键字，但留下的字符可组成可执行的ＳＱＬ语句。 ｉｄ＝ｌ”ｕｎｕｎｉｏｎｉｏｎ ｓｅｓｅｌｅｃｔｌｅｃｔ ｕｓｅｒｎａｍｅ，ｐａｓｓｗｏｒｄ ｆｒｆｒｏｍｏｍ ａｄｍｉｎ－一 Ｃｏｎｔｅｎｔ—ｔｙｐｅ为ｉｍａｇｅ／ｇｉｆ，但上传文件后缀为ｊｓｐ，绕过文件类 型判断程序上传ｉｓｐ脚本。 ３）字符截断绕过。字符截断 是在上传测试中经常 用到的文件类型验证绕过技术。当上传请求中包含上传目录 时，例如ｐａｔｈ＝ｕｐｌｏａｄ—ｆｉｌｅ，可将其修改为ｐａｔｈ＝ｕｐｌｏａｄ—ｆｉｌｅ／１． ２．３．２ ＸＳＳ防护绕过 跨站脚本（ＸＳＳ）测试向量极多且千变万化，使得完全利 用黑名单进行防护变得非常困难，通过一定的技术处理总能 找到绕过防护的方法，以下列举部分ＸＳＳ测试向量 】。 １）尖括号限制绕过。如果程序过滤了尖括号，可选择从标 签属性进行ＸＳＳ代码注入，无需使用标签符＜＞。例如＜ｉｎｐｕｔ ｉｄ＝”ｎａｍｅ”ｖａ］ｎｅ＝”￥ｖａｌｕｅ”＞标签中，￥ｖａｌｕｅ为输入变量，则可 将ｖａｌｕｅ设为”ｓｔｙｌｅ＝”ｘｓｓ：ｅｘｐｒｅｓｓｉｏｎ（ｅｖａｌ（ａｌｅｒｔ（／ｘｓｓ伽，形成：＜ｉｎｐｕｔ ｖａｌｕｅ＝””ｓｔｙｌｅ＝”ｘｓｓ：ｅｘｐｒｅｓｓｉｏｎ（ｅｖａｌ（ａｌｅｒｔ（／ｘｓｓ／）））”＞的ｐａｙｌｏａｄ。 ２）ＡＳＣＩＩ编码绕过。 ａｌｅｒｔ（Ｓｔｒｉｎｇ．ｆｒ０ｍｃｈａｒＣ０ｄｅ（８８，８３，８３）） ｊｓｐ％００，％００表示空字符，即十六进制的ＯｘＯ０。由于最终的文 件路径是ｐａｔｈ和文件名拼接而成，而％００将会截断字符串， 所以最终的文件路径必定是ｕｐｌｏａｄ—ｆｉｌｅ／１．ｊｓｐ。另外可直接对 文件名字段进行截断，例如ｔｅｓｔ．ａｓｐ％００１．ＪＰｇ，此时Ｗｅｂ容器 识别为 ｐｇ格式的文件，而保存时文件名截断为ｔｅｓｔ．ａｓｐ。 ３测试与比较结果 为比较两者的测试效果，我们分别利用自动化工具和 手工对相同的Ｗｅｂ应用进行安全测试，自动化测试利用 ３）空格限制绕过。当空格被限制时，可利用ｔａｂ制表符 替代空格，如下： ＜ｉｍｇ ｓｒｅ＝＃ ｏｎｅｒｒｏｒ＝ａｌｅｒｔ（／ｘｓｓ／）＞ ＡｐｐＳｃａｎ８．０并采用默认扫描策略，手工策略采用Ｂｕｒｐ Ｓｕｉｔｅ１．４ 进行抓包和手工分析，以下是两种测试方式的比较结果。 表１自动化测试与手工测试效果比较 方式 自动化测试 ＳＱＬ盲注漏洞（３） 内网ＩＰ地址泄露（１】） ３个盲注漏洞皆为误报；未检出 ＡＪＡＸ请求的ＳＱＬ注入漏洞 ｌ５分钟 手工测试 ＳＱＬ注入漏洞（１） 内网ＩＰ地址泄露（２） 检出ＡＪＡＸ请求的ＳＱＬ注 入漏洞 ２小时 如果是在标签名和属性之间的空格，也可通过斜杠代替： ＜ＳＣＲＩＰＴ／ＳＲＣ＝”ｈｔｔｐ：／／ｘｓｓ／ｘｓｓ．ｊｓ”＞＜／ＳＣＲＩＰＴ＞ ４）Ｓｃｒｉｐｔ关键字限制绕过。如果程序限制了Ｓｃｒｉｐｔ关键 字，可通过其他标签注入测试向量，例如： ＜ｂｏｄｙ ０ｎｌ０ａｄ＝ａｌｅｒｔ ＸＳＳ／１＞ 结果 评价 耗时 ＜ｉｍｇ ｓｒｅ＝＃ｏｎｅｒｒｏｒ＝ａｌｅｒｔ（／ｘｓｓ／）＞ ＜ｄｉｖ ｓｔｙｌｅ＝”ｗｉｄｔｈ：ｅ ｐｒｅｓｓｉ０ｎ（ａｌｅｒｔ ｘｓｓ，））；”＞ 由表１所述，自动化测试效率高速度快，但存在误报和 漏报的风险以及测试精度和深度上存在局限性，在一定程度 上可通过手工测试弥补。 另外，可通过制表符分隔关键字达到绕过目的，例如： ＜ｉｍｇ ｓｒｃ＝＃ｏｎｅｒｒｏｒ＝ｊａｖａｓｅｒ ｉｐｔ：ａｌｅｒｔ（／ｘｓｓ／）／ ２．３．３上传防护绕过 由于上传功能的安全测试不确定因素较多，自动化工具对 上传漏洞往往支持不够。所以手工检测上传漏洞成为安全测 试的重点。如果防护不当极易直接上传Ｗｅｂｓｈｅｌｌ导致服务器 沦陷。通常上传程序会验证上传文件的类型、大小甚至是内容， 防止有害文件上传至服务器，以下是几种绕过上传防护的方法： １）利用Ｗｅｂ服务器解析漏洞。解析漏洞是指由于对脚本 解析规则存在一定的ＢＵＧ导致Ｗｅｂ容器可解析非脚本文件。 ４结束语 在Ｗｅｂ安全测试中，自动化工具本身存在一定的局限性， 只能作为提高测试效率的测试手段，并不能完全替代手工测试。 在自动化测试的基础上进行有针对ｌ生的手工测试和结果验证，能 在提高测试效率的同时提高测试准确性和完整性，较好的达到 漏洞发掘效果。所以加强手工测试能力，建立一套高效的手工测 试向量，对于ｗｌｅｈ安全测试人员来说非常重要。帮（责编张岩） 参考文献： ［１］宣以广． ａｘ应用安全研究刚．信息安全与通信保密，２０１２，（Ｏ１）： ８０－８２． 因此攻击者可上传其他类型的文件执行脚本，从而绕过程序 对上传文件类型的限制。常见的解析漏洞有以下三种『６】：（１） ＩＩＳ６允许解析目录名为ＸＸＸ．ａｓｐ下的任意文件，即往ＸＸＸ．ａｓｐ目 录下上传任意类型的文件，如ｔｅｓｔ．ＪＰｇ，该文件即可被当做ａｓｐ 脚本执行。（２）ＩＩＳ６允许解析文件名为ＸＸＸ．ａｓｐ；．ｊｐｇ形式的文件， 例如ｔｅｓｔ．ａｓｐ；１．ＪＰｇ，其后缀为ｊＰｇ但扔能被ＩＩＳ解析执行。（３） ［２］Ｊｏｅｌ Ｓｃａｍｂｒａｙ，Ｖｉｎｃｅｎｔ Ｌｉ．黑客大曝光Ｗｅｂ应用程序安全［Ｍ】．北 京：机械工业出版社，２０１１． 【３】Ｂｉｌｌｙ Ｈｏｆｆｍａｎ，Ｂｒｙａｎ Ｓｕｌｌｉｖａｎ．ＡＪＡＸ安全技术［Ｍ］．北京：电子工业 出版社．２００９． ＩＩＳ７／ＩＩＳ７．５／Ｎｇｉｎｘ在解析ｐｈｐ脚本时存在漏洞，将任意文件添 加／ｘｘｘ．ｐｈｐ后进行访问，即可执行该脚本。例如存在ｔｅｓｔ．ＪＰｇ， 以ｔｅｓｔ．ｊｐｇ／ｘｘｘ．ｐｈｐ进行访问，即可按ｐｈｐ脚本进行解析执行。 ［４Ｊ ＪｕｓｔｉｎＣｌａｒｋｅ．ＳＱＬ注入攻击与防御 ．北京：清华大学出版社， ２０１０． ［５］冯锴，林柏钢．跨站脚本漏洞的白盒测试框架的设计与实现卟 计算机工程与科学，２０１１，３３（１ｏ）：４６—４７ ［６］吴翰清．白帽子讲ｗｅｂ安全［ＭＪ．北京：电子工业出版社，２０１２． ２）ＭＩＭＥ类型检测绕过。不少Ｗｅｂ应用会根据上传文 件的ＭＩＭＥ类型即报文中的Ｃｏｎｔｅｎｔ—ｔｙｐｅ字段，确定文件类 【７］朱锡华，刘月铧，侯伟．暗战亮剑：黑客渗透与防御全程实录【Ｍ】． 北京：人民邮电出版社，２０１０． 型。但该字段是可以任意修改的，可通过代理工具抓包后修改 ８１ Ｉｌ＿ ＿～