問題

內(nèi)置功能，比如JavaScript驗證或文本長度限制，可能會禁止中規(guī)中矩的網(wǎng)頁瀏覽器發(fā)送特定種類的惡意輸入。但是，攻擊者有許多種方法可用來繞過這些客戶端的限制。為了測試這種情況，我們將向你演示如何從瀏覽器外部發(fā)送修改過的請求。

解決方案

啟動WebScarab并配置Firefox用它作為代理（正如第3章所描述的那樣）。登錄你的應(yīng)用并導(dǎo)航到你希望測試的功能。在你做好提交請求的準(zhǔn)備但還沒有提交的時候，打開WebScarab。

在WebScarab中，通過Internet選項卡，單擊“Intercept Requests”復(fù)選框。從此以后，WebScarab將向你提示每個新頁面或AJAX請求。它會詢問你是否希望在請求發(fā)送到服務(wù)器之前對它進(jìn)行編輯。注意，只有在你確認(rèn)或拒絕請求之后，頁面才會載入。

在“Edit Request”窗口中，你可以隨意插入、修改或刪除請求頭。雙擊任意請求頭即可開始修改——你甚至可以修改左側(cè)的請求頭名稱。在圖5-1中，你可以看到對SSN變量的修改。

另外，你可以通過Raw選項卡以純文本形式編輯原始請求。這方便了對整個請求的復(fù)制和粘貼，這樣你就可以在以后重復(fù)完全相同的測試。將請求粘貼到測試用例中來保存它，你就能夠保存數(shù)據(jù)用于回歸測試。

完成之后，你可以通過取消選中任何一個“Edit Request”窗口中的復(fù)選框來禁止對請求的截獲。如果有許多等待中的請求，就可以使用“Cancel ALL Intercepts”按鈕。

討論

作為Web代理（有關(guān)Web代理的更多信息，看第三章），WebScarab在數(shù)據(jù)離開你的瀏覽器但還沒有到達(dá)服務(wù)器的時候?qū)ζ溥M(jìn)行截獲和修改。通過在中途修改數(shù)據(jù)，它能夠避開頁面指定的所有限制或修改。

注意，啟用“Intercept Requests”之后，在瀏覽時，每個新的頁面都會啟動一個“Edit Request”窗口。不要忘記取消選中“Intercept Requests”!如果你在完成之后忘記將它關(guān)閉，那么你必須來回單擊幾個Edit Request窗口，非常惱人。

注意，圖5-1中的SSN變量傳送了5個數(shù)字。而例5-1的HTML源代碼將SSN域限制為4個字符，如圖5-2所示。

在原本應(yīng)該是4位數(shù)字的域中發(fā)送5位數(shù)字，這只不過是WebScarab使之成為可能的修改種類的一個例子。一旦你建立了提供不尋常數(shù)據(jù)的能力，就應(yīng)該確保你的應(yīng)用能夠得體地處理這些異常。

WebScarab允許你修改所有請求頭，甚至是請求將被發(fā)送到的URL.這使得它能夠方便地同時修改GET和POST信息，這種功能是其他工具（比如TamperData）所沒有的。

謹(jǐn)慎使用WebScarab

在你截獲請求時，你是捕獲到AJAX驅(qū)動的功能以及單獨的表單提交。每個AJAX請求可以被單獨截獲和修改。記住，大量使用AJAX的站點會產(chǎn)生許多請求，有可能會爆炸式地彈出許多被截獲請求窗口。

此外，使用WebScarab需要配置整個網(wǎng)頁瀏覽器作為代理，而不是針對單個窗口、選項卡或站點。在有些情況下（Internet Explorer或Mac OS X上的Safari）,你實際上是設(shè)計整個操作系統(tǒng)使用這個代理。這意味著每次軟件更新檢查，后臺HTTP連接或者使用HTTP的應(yīng)用會突然將自己的所有請求都通過WebScarab來發(fā)送，這可能是數(shù)量巨大的，而且它會妨礙你搜集與單個請求有關(guān)的數(shù)據(jù)的能力。

因而，在你使用WebScarab時，請確保盡量減少同時運行的其他使用HTTP的程序的數(shù)量（Adobe Reader、其他瀏覽器窗口、缺陷跟蹤系統(tǒng)等等）。