OWASP テスティングガイド

OWASP Testing Guide v3.0
もちろん、URL 内 の”..”や”cmd.exe”といった 文 字 列 の 存 在 によってこの 攻 撃 を 検 知 してフィラソヨヱギすることはとても 簡 単
です。ところが、IIS 5.0 は POST ヨキウシトについて 好 みがうるさく、body の 最 大 は 48K バイトであり、Content-Type ブッゾが
application/x-www-form-urlencoded 以 外 の 場 合 にこの 制 限 を 超 えると 切 り 取 ってしまいます。ヘヱテシソーは、 以 下 のよう
な 構 造造 の 大 きいヨキウシトを 作 ることによってこれを 利 用 することができます:
POST /target.asp HTTP/1.1
Host: target
Connection: Keep-Alive
Content-Length: 49225
POST /target.asp HTTP/1.0
Connection: Keep-Alive
Content-Length: 33
POST /target.asp HTTP/1.0