2021CISP-PTE知識類:Web安全(3.2)

2021CISP-PTE（注冊滲透測試工程師）考試內容以考試大綱為基礎，如有考生想要參加并獲得CISP-PTE認證，建議先了解考綱，下文就是小編整理的CISP-PTE知識類:Web安全(3.2)，可供考生參考。

3.2 知識體：注入漏洞

圖 3-2：知識體：注入漏洞

3.2.1 知識域：SQL 注入

所謂 SQL 注入，就是通過把 SQL 命令插入到 Web 表單提交或輸入域名或頁面請求的查詢字符串，最終達到欺騙服務器執(zhí)行指定的 SQL 語句。具體來說，它是利用現(xiàn)有應用程序，將 SQL 語句注入到后臺數(shù)據(jù)庫引擎執(zhí)行的能力，它可以通過在 Web 表單中輸入 SQL 語句得到一個存在安全漏洞的網(wǎng)站上的數(shù)據(jù)，而不是按照設計者意圖去執(zhí)行 SQL 語句。

知識子域：SQL 注入的概念

了解 SQL 注入漏洞原理

了解 SQL 注入漏洞對于數(shù)據(jù)安全的影響

掌握 SQL 注入漏洞的方法

知識子域：SQL 注入的類型

了解常見數(shù)據(jù)庫的 SQL 查詢語法

掌握 MSSQL,MYSQL,ORACLE 數(shù)據(jù)庫的注入方法

掌握 SQL 注入漏洞的類型

知識子域：SQL 注入的安全防護

掌握 SQL 注入漏洞修復和防范方法

掌握一些 SQL 注入漏洞檢測工具的使用方法

3.2.2 知識域：XML 注入

XML 外部實體注入(XML External Entity)，XML 用于標記電子文件使其具有結構性的標記語言，可以用來標記數(shù)據(jù)、定義數(shù)據(jù)類型，是一種允許用戶對自己的標記語言進行定義的源語言。XML 文檔結構包括 XML 聲明、DTD 文檔類型定義(可選)、文檔元素。當允許引用外部實體時，通過構造惡意內容，可導致讀取任意文件、執(zhí)行系統(tǒng)命令、探測內網(wǎng)端口等危害。

知識子域：XML 注入概念

了解什么是 XML 注入漏洞

了解 XML 注入漏洞產生的原因

知識子域：XML 注入漏洞檢測與防護

掌握 XML 注入漏洞的利用方式

掌握如何修復 XML 注入漏洞

3.2.3 知識域：代碼注入

知識子域：遠程文件包含漏洞(RFI)

即服務器通過 PHP 的特性(函數(shù))去包含任意文件時，由于要包含的這個文件來源過濾不嚴格，從而可以去包含一個惡意文件，攻擊者就可以遠程構造一個特定的惡意文件達到攻擊目的。

了解什么是遠程文件包含漏洞。

了解遠程文件包含漏洞所用到的函數(shù)。

掌握遠程文件包含漏洞的利用方式。

掌握遠程文件包含漏洞代碼審計方法。

掌握修復遠程文件包含漏洞的方法。

知識子域：本地文件包含漏洞(LFI)

文件包含漏洞的產生原因是 PHP 語言在通過引入文件時，引用的文件名，用戶可控，由于傳入的文件名沒有經過合理的校驗，或者校驗被繞過，從而操作了預想之外的文件，就可能導致意外的文件泄露甚至惡意的代碼注入。當被包含的文件在服務器本地時，就形成的本地文件包含漏洞。了解 PHP 腳本語言本地文件包含漏洞形成的原因，通過代碼審計可以找到漏洞，并且會修復該漏洞。

了解什么是本地文件包含漏洞。

了解本地文件包含漏洞產生的原因。

掌握本地文件包含漏洞利用的方式。

了解 PHP 語言中的封裝協(xié)議。

掌握本地文件包含漏洞修復方法。

知識子域：命令執(zhí)行漏洞(Command Injection)

Command Injection，即命令注入攻擊，是指這樣一種攻擊手段，黑客通過把 HTML 代碼輸入一個輸入機制(例如缺乏有效驗證限制的表格域)來改變網(wǎng)頁的動態(tài) 生成的內容。使用系統(tǒng)命令是一項危險的操作，尤其在你試圖使用遠程數(shù)據(jù)來構造要執(zhí)行的命令時更是如此。如果使用了被污染數(shù)據(jù)，命令注入漏洞就產生了。

了解什么是命令注入漏洞。

了解命令注入漏洞對系統(tǒng)安全產生的危害。

掌握腳本語言中可以執(zhí)行系統(tǒng)命令的函數(shù)。

了解第三方組件存在的代碼執(zhí)行漏洞，如 struts2。

掌握命令注入漏洞的修復方法。

更多備考信息盡在希賽網(wǎng)CISP頻道-考試輔導欄目，敬請期待……