file-upload-testing
Testuj luki w przesyłaniu plików – wykrywaj zagrożenia bezpieczeństwa w aplikacjach webowych
Instalacja
Wybierz klienta i sklonuj repozytorium do odpowiedniego katalogu skilli.
Instalacja
O skillu
Umiejętność do profesjonalnego testowania luk w funkcjach przesyłania plików. Nauczysz się identyfikować i wykorzystywać typowe błędy bezpieczeństwa: brak walidacji typu pliku, ominięcie kontroli zawartości, path traversal, nadpisywanie nazw plików oraz luki w parsowaniu serwerów (Apache, IIS, Nginx). Skill zawiera konkretne techniki testowania – od podstawowych testów rozszerzeń i Content-Type po zaawansowane ataki race condition i webshelle. Dowiesz się, jak przesyłać pliki PHP, .htaccess i obrazy zawierające kod, oraz jak wykorzystać magiczne bajty i dualne rozszerzenia do obejścia filtrów.
Jak używać
Zainstaluj skill file-upload-testing w swoim środowisku agenta (np. Claude z obsługą skills). Skill zawiera metodologię testowania luk w przesyłaniu plików dla aplikacji webowych.
Zacznij od testowania podstawowych typów plików – spróbuj przesłać rozszerzenia .php, .jsp, .asp, .aspx i ich warianty (.php3, .php5, .phtml). Testuj również dualne rozszerzenia (shell.php.jpg) i zmianę wielkości liter (shell.PHP).
Testuj obejścia walidacji zawartości: zmień nagłówek Content-Type na image/jpeg przy przesyłaniu kodu PHP, lub dodaj magiczne bajty obrazu (np. GIF89a) przed kodem PHP.
Sprawdź podatności parsowania serwera – Apache może interpretować shell.php.xxx jako PHP, IIS obsługuje shell.asp;.jpg, a Nginx podatny jest na shell.jpg%00.php. Dostosuj testy do docelowego serwera.
Jeśli serwer usuwa przesłane pliki, spróbuj ataku race condition: przesyłaj plik PHP i natychmiast go żądaj, zanim zostanie usunięty. Użyj wielowątkowości do synchronizacji czasowej.
Dla zaawansowanych scenariuszy przesyłaj .htaccess z dyrektywą AddType (aby zmienić interpretację rozszerzeń) lub obrazy zawierające webshelle (PHP, eval, system shells). Każda technika powinna być testowana w izolowanym środowisku testowym.