Système de fichiers d'accès via une chaîne de requête ou des paramètres

Question

On m'a donné une tâche de reproduire le problème / testant l'accès non autorisé au système de fichiers via Demande.Param et Query String.

Par exemple, j'ai quelque chose comme ça.demande.Quiserything ("bla"); Comment la personne pourrait-elle passer "../../../b1/b2" dans la chaîne de requête et le système de fichiers d'accès.

Ceci peut être lié aux scripts de site croisé.

Besoin d'aide..at le moins fournir des ressources.Merci d'avance.

Answer 1

J'aimerais pouvoir fournir une réponse définitive, mais peut au moins vous guider dans certains direction.Je ne sais pas à quel point vous êtes convaincu que la demande.Quiserystring () était en effet responsable, mais certaines possibilités sont:

Traversal de répertoire / chemin de travoir:

Vue d'ensemble: http://fr.wikipedia.org/wiki/directory_traversal
Test de: http://www.owasp.org/index.php/testing_for_path_traversal

Inclusion de fichier distant:

Vue d'ensemble: http://fr.wikipedia.org/wiki/remote_file_inclusion
Tutoriel: http://www.offensivecomputing.net/?q=node/624 (Tutoriel de Knightlighter)

J'espère que cela vous déplace dans la bonne direction.