6個”檔案上傳”功能的資訊安全風險與防護

6個”檔案上傳”功能的資訊安全風險與防護 有些網站會提供檔案上傳的功能,例如 DropBox、社交網站提供照片上傳或是部落格網站提供檔案上傳分享等功能。 駭客可以透過檔案上傳的方式執行惡性程式或是產生非預期的結果。因此,檔案上傳的安全防護不亞於帳號密碼的保護措施。 這篇文章主要討論這些”檔案上傳”的網站,需要注意哪些資訊安全風險與防護的建議。 我們會舉 6 個檔案上傳相關安全風險的原因、程式範例討論與安全防護必須要注意的建議。   風險1: 檔案路徑 file path injection 又稱為 path traversal。這樣的攻擊主要是透過檔案路徑的搜尋,間接存取其他網站的資源。 當URL 網址的路徑內包含  ../ 就表示該網站有潛在的風險…

Read More

Free Web Security Testing ToolSet 網站資訊安全測試工具集

Free Web Security Testing ToolSet 網站資訊安全測試工具集 這篇文章主要介紹一個工具集的VM,這個工具級主要提供 “所有” Web Security 所需要用到的工具。 這個VM已經預先安裝好100多個網站安全測試工具(免費),只要啟動該VM即可使用。 資訊安全測試工具主要分為兩大類: 網站測試工具。這類的測試工具可以測試 CSRF, XSS, SQL injection, Cookie Session…

Read More