9. Web安全—渗透测试用例—文件上传漏洞测试

0x01 等保测评项

GBT 22239-2019《信息安全技术 网络安全等级保护基本要求》中，8.1.4安全计算环境-入侵防范项中要求包括：
a）应遵循最小安装的原则，仅安装需要的组件和应用程序；
b）应关闭不需要的系统服务、默认共享和高危端口；
c）应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制；
d）应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求；
e）应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞；
f）应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。
文件上传对应入侵防范项中要求d），所以安全控制点为入侵防范d。

GBT 28448-2019《信息安全技术 网络安全等级保护测评要求》中，测评单元（L3-CES1-20），该项测评单元包括以下要求：
a）测评指标：应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求。
b）测评对象：业务应用系统、中间件和系统管理软件及系统设计文档等。
c）测评实施包括以下内容：
1）应核查系统设计文档的内容是否包括数据有效性检验功能的内容或者模块；
2）应测试验证是否对人机接口或通信接口输入的内容进行有效性检验。
d）单元判定：如果1）和2）均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
文件上传属于测评单元（L3-CES1-20）中测评实施第2项，故测评单元为L3