安全扫描漏洞解决

青旅半醒 2022-01-28 15:01 611阅读 0赞

**Appscan漏洞 已解密的登录请求**

该漏洞，可能会窃取诸如用户名和密码等未经加密即发送了的用户登录信息；

整改方案：

1.对于用户名和密码等敏感信息，字段名匿名， 字段内容行非对公私钥加密处理;

2.采用post请求；

3.启用https协议；

**SQL注入漏洞**

在系统部分url处存在该漏洞，该漏洞可能会查看、修改或删除数据库条目和表；

整改方案：

1.请求参数进行过滤一些非法的字符，防止用户输入恶意的字符传入到数据库中执行sql语句；

2.对用户提交的的特定参数安全过滤，像一些特殊的字符（，（）\*&……%\#等等）进行字符转义操作,以及编码的安全转换；

具体处理 后台增加请求拦截；前端提交的的特定参数（可能包括特殊字符）转义 如富文本记录；

**跨站点脚本编制漏洞**

在系统部分url处存在该漏洞，该漏洞可能会窃取或操纵客户会话和 cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事务；

整改方案：

1.验证HTTP Referer字段；2.新增参数校验位，参数与用户登陆信息加密；实现一人一参；3.在HTTP头中自定义属性并验证

**跨站点请求伪造漏洞|已解密的登录请求漏洞**

该漏洞，可能会窃取或操纵客户会话和 cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事务；

整改方案：

1.后台验证HTTP Referer字段是否未本网站；

2.提交的表单使用 one-time-nonce

**通过框架钓鱼漏洞**

该漏洞，可能会劝说初级用户提供诸如用户名、密码等敏感信息；

整改方案：

1.对用户输入正确执行危险字符清理（没有明白怎么处理，希望有人留言）

**会话标识未更新漏洞**

该漏洞，可能会窃取或操纵客户会话和 cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事务；

整改方案：

1.登陆成功后，向session 重新写入一个新值；拦截器判断有session 无该值，返回不合法；

**使用 HTTP 动词篡改的认证旁路漏洞**

该漏洞，可能会升级用户特权并通过 Web 应用程序获取管理许可权可能会收集有关 Web 应用程序的敏感信息，如用户名、密码、机器名和/或敏感文件位置；

整改方案：将您的服务器配置为仅允许所需 HTTP 方法

发表评论取消回复

表情：

评论列表（有 0 条评论，611人围观）

还没有评论，来说两句吧...

相关阅读

相关解决扫描漏洞的拦截器

import org.springframework.beans.factory.annotation.Autowired; import org.spri...

清疚/ 2024年04月20日 08:37/ 0 赞/ 10 阅读

相关 fortify扫描安全漏洞，fastjson安全漏洞

astjson安全漏洞，升级版本后，引发的问题。使用fastjson将json字符串转换成对象 jsonStr：json格式的字符串 (Map<Strin...

朱雀/ 2024年04月18日 20:38/ 0 赞/ 17 阅读

相关漏洞扫描介绍

漏洞定义漏洞：对系统安全性造成影响的缺陷漏洞与 Bug 并不等同，他们之间的关系基本可以描述为：大部分的 Bug 影响功能性，并不涉及安全性，也就不构成漏洞；大

红太狼/ 2024年03月24日 17:22/ 0 赞/ 5 阅读

相关如何借助lynis扫描Linux的安全漏洞?

lynis就是Linux平台上的这样一款安全漏洞扫描工具。这款工具是开源工具(采用GPLv3许可证)，实际上在包括Linux、FreeBSD和Mac OS在内的多个平台上得到

谁践踏了优雅/ 2022年10月02日 12:57/ 0 赞/ 124 阅读

相关应用安全漏洞扫描问题处理整理

文章目录【1】检测到目标站点存在javascript框架库漏洞【2】检测到目标主机可能存在缓慢的HTTP拒绝服务攻击

亦凉/ 2022年09月10日 03:24/ 0 赞/ 1914 阅读

相关分布式漏洞扫描

0x00 前言 -------------------- 在渗透测试和安全扫描工作中，发现越来越多站点部署了应用防护系统或异常流量监控系统，其中包括：WEB应用防火墙（

骑猪看日落/ 2022年08月21日 01:18/ 0 赞/ 214 阅读

相关漏洞扫描

APP漏洞扫描器之未使用地址空间随机化阿里聚漏洞扫描器有一个检测项叫未使用地址空间随机化技术, 本文主要介绍该项技术的原理和扫描器的检测方法。 APP漏洞扫描

忘是亡心i/ 2022年07月14日 12:53/ 0 赞/ 286 阅读

相关 Nmap扫描漏洞

1 http 拒绝服务 nmap –max-parallelism 800–script http-slowloris scanme.nmap.org 2 IIS 短文

我就是我/ 2022年03月27日 12:18/ 0 赞/ 283 阅读

相关 Fortify扫描漏洞解决方案

Fortify扫描漏洞解决方案： Log Forging漏洞： 1.数据从一个不可信赖的数据源进入应用程序。在这种情况下，数据经由getParameter()到后

墨蓝/ 2022年03月09日 03:46/ 0 赞/ 1265 阅读

相关安全扫描漏洞解决

Appscan漏洞已解密的登录请求该漏洞，可能会窃取诸如用户名和密码等未经加密即发送了的用户登录信息；整改方案： 1.对于用户名和密码等敏感信息，字段名匿名，字段

青旅半醒/ 2022年01月28日 15:01/ 0 赞/ 612 阅读