【学习笔记】文件上传漏洞--黑白盒审计

 黑白盒测试

侦察兵进行侦察即为黑盒测试，卧底探清敌人内部为白盒测试。白盒看代码，黑盒看流程

黑盒测试

黑盒测试也称：数据驱动测试（由数据驱动其进行测试）包括功能测试和性能测试。

没有办法或不用了解事物的内部结构和运行机制，而把整个事物看成一个整体——黑盒子，通过分析事物的输入与输出以及周边条件来分析和处理问题。

白盒测试

白盒测试也称：结构化测试或逻辑驱动测试。

能够看清事物的内部，即了解事物的内部结构和运行机制，通过剖析事物的内部结构和运行机制，来处理和解决问题。

举个例子：潜入敌后的卧底，通过调查内部结构，例如画出到监狱的路线图，使其能够帮助部队营救被困战友。

详细操作：文件上传漏洞-某CMS及CVE编号文件上传漏洞测试以及实例讲解_finecms漏洞

                       

如：（黑盒）

上传图片，抓包，可以看到文件上传常有的3个内容这里具备了两个

放包，发现png图片变为了php文件，成功写入后门代码

#白盒审计-Finecms-代码常规-处理逻辑

黑盒思路:寻找上传点抓包修改突破获取状态码及地址

审计流程:功能点-代码文件-代码块-抓包调试-验证测试

#白盒审计-CuppaCms-中间件-.htaccess

黑盒思路:存在文件管理上传改名突破 访问后再突破

审计流程:功能点-代码文件-代码块-抓包调试-验证测试

#白盒审计-Metinf0-编辑器引用-第三方安全

黑盒思路:探针目录利用编辑器漏洞验证测试

审计流程:目录结构-引用编辑器·编辑器安全查询-EXP利用验证

#文件上传:
黑盒:寻找一切存在文件上传的功能应用
1、个人用户中心是否存在文件上传功能
2、后台管理系统是佛存在文件上传功能
3、字典目录扫描探针文件上传构造地址
4、字典目录扫描探针编辑器目录构造地址

白盒:看三点，中间件，编辑器，功能代码
1、中间件直接看语言环境常见搭配
2、编辑器直接看目录机构或搜索关键字
3、功能代码直接看源码应用或搜索关键字