![软件测试实验实训指南](https://wfqqreader-1252317822.image.myqcloud.com/cover/533/26793533/b_26793533.jpg)
上QQ阅读APP看书,第一时间看更新
1.16 实验#16:testphp网站数据库结构泄露
缺陷标题 testphp网站管理员目录列表暴露,导致数据库结构泄露。
测试平台与浏览器 Windows 10+IE 11或Chrome 45.0。
测试步骤
(1)打开testphp网站http://testphp.vulnweb.com/。
(2)在浏览器地址栏中追加admin,如图1-30所示,按Enter键。
![](https://epubservercos.yuewen.com/3770CF/15253385004105606/epubprivate/OEBPS/Images/Figure-P50_5623.jpg?sign=1739244951-4pWRai9b1f9zdw2RyvrX4lZk6nX3av3d-0-54caa432d6f406903bef62269ffe8fc5)
图1-30 在URL后面追加admin
期望结果 不会出现目录结构遍历和信息泄露问题。
实际结果 出现管理员目录列表,打开creat.sql能看到数据库结构,结果如图1-31和图1-32所示。
![](https://epubservercos.yuewen.com/3770CF/15253385004105606/epubprivate/OEBPS/Images/Figure-P50_5627.jpg?sign=1739244951-hcrpLffDuvv2FtCc0XMaJCNiAiMOnAL3-0-fa85b926534ae0a1ca503bf28918db84)
图1-31 可以看到管理员目录列表
专家点评
除了本试验中的方法,Apache服务器也可以通过配置来禁止访问某些文件/目录。
(1)增加Files选项来控制。例如,不允许访问.inc扩展名的文件,保护PHP类库。可通过以下语句实现。
![](https://epubservercos.yuewen.com/3770CF/15253385004105606/epubprivate/OEBPS/Images/Figure-P50_15791.jpg?sign=1739244951-zp2UqiyBse3D452hTRBV4iqFv24WIBur-0-119f7c6db3c28267d37e6b85e5aa33ae)
![](https://epubservercos.yuewen.com/3770CF/15253385004105606/epubprivate/OEBPS/Images/Figure-P51_5639.jpg?sign=1739244951-D7MhQ7Fjd1CCwQ8Xo3uW7r1zIv70gF6F-0-b2c53246444b9591656a00a72cd281a4)
图1-32 暴露网站数据库
![](https://epubservercos.yuewen.com/3770CF/15253385004105606/epubprivate/OEBPS/Images/Figure-P51_1579.jpg?sign=1739244951-IrrHlmF5hxKFrlWLAvy0WDuuEB8ztmWH-0-a098a772969d09cff8deb54e8dcd7c90)
(2)禁止访问某些指定的目录(可以用<DirectoryMatch>来进行正则匹配)。
![](https://epubservercos.yuewen.com/3770CF/15253385004105606/epubprivate/OEBPS/Images/Figure-P51_157.jpg?sign=1739244951-p4TZQA2oERRCADZbGW9b5bkrLCBOfYo1-0-7dc0c89e6d10cf4797d458d0a63685aa)
(3)通过文件匹配来禁止,比如禁止所有针对图片的访问。
![](https://epubservercos.yuewen.com/3770CF/15253385004105606/epubprivate/OEBPS/Images/Figure-P51_15.jpg?sign=1739244951-ZMW5lqZMWu3GkZo0pokfk9tGRS20mZ4n-0-5e214da89e99e2440c6abf551a2ef1ac)
(4)针对URL相对路径的禁止访问。
![](https://epubservercos.yuewen.com/3770CF/15253385004105606/epubprivate/OEBPS/Images/Figure-P51_1.jpg?sign=1739244951-AxKJvxDMfnl3YuBzOEZn8HHPZILe8vMl-0-40b5abb800db9d146d11618e3bcdc934)