上传攻击框架
时间： 2011年9月20日晚上8:00-9:00
内容： 上传攻击框架免费交流培训
人数： 不限
培训方式： 在线培训
主讲人： 胡浪宇
报名方式： 请提供会员编号发邮件到project邮箱申请。（本次培训为OWASP中国区会员免费提供，非会员可先免费加入OWASP中国）
主讲人简介：
胡浪宇，现为成都信息工程学院本科大四在校学生，学校三叶草安全团队成员，大三时担任团队Leader和实习于阿里巴巴集团安全中心，喜欢研究渗透测试、web安全、黑客竞赛、无线电安全、物理安全。
前言：
在现在越来越安全的体系下，sql injection 这类漏洞已经很难在安全性较高的站点出现，比如一些不错的.NET 或JAVA 的框架基本上都是参数化传递用户输入，直接封死注入攻击。而在非php的web安全中最有威力的攻击主要有两种，第一种是sql injection，第二种便是上传攻击。（php的还有文件包含或代码注入漏洞等)
通常web站点会有用户注册功能，而当用户登入之后大多数情况下都会存在类似头像上传，附件上传一类的功能，这些功能点往往存在上传验证方式不严格的安全缺陷，是在web渗透中非常关键的突破口，只要经过仔细测试分析来绕过上传验证机制，往往会造成被攻击者直接上传web后门，进而控制整个web业务的控制权，复杂一点的情况是结合web server的解析漏洞来上传后门获取权限。
00 上传检测流程概述
01 客户端检测绕过(javascript检测)
02 服务端检测绕过(MIME类型检测)
03 服务器检测绕过(目录路径检测)
04 服务端检测绕过(文件扩展名检测)
05 服务端检测绕过(文件内容检测)
06 解析攻击
07 上传攻击框架
资料下载：
