记一次网安安全漏洞整改

灰太狼 2023-06-02 15:00 2阅读 0赞

**这里网安使用的扫描软件是[Acunetix][],总共扫描出1个中等漏洞，2个低等漏洞，3个提示。**

**![1162521-20190929152024901-850066388.png][]**

**1.Medium，Vulnerable Javascript library 易受攻击的javascript库**

**![1162521-20190929152105439-1044999539.png][]**

**解决，升级到最新版本即可。**

**2.Low, OPTIONS method is enabled 允许options类型请求方式**

**![1162521-20190929152500402-667612441.png][]**

**解决方法：禁用不安全的http请求方式（SpringBoot）**

import org.apache.catalina.Context;
    import org.apache.tomcat.util.descriptor.web.SecurityCollection;
    import org.apache.tomcat.util.descriptor.web.SecurityConstraint;
    import org.springframework.boot.context.embedded.EmbeddedServletContainerFactory;
    import org.springframework.boot.context.embedded.tomcat.TomcatContextCustomizer;
    import org.springframework.boot.context.embedded.tomcat.TomcatEmbeddedServletContainerFactory;
    import org.springframework.context.annotation.Bean;
    import org.springframework.context.annotation.Configuration;
    
    /**
     * @Author: SimonHu
     * @Date: 2019/9/27 15:36
     * @Description:过滤不安全http方法
     */
    @Configuration
    public class CustomCORSConfiguration  {
        @Bean
        public EmbeddedServletContainerFactory servletContainer() {
            TomcatEmbeddedServletContainerFactory tomcatServletContainerFactory = new TomcatEmbeddedServletContainerFactory();
            tomcatServletContainerFactory.addContextCustomizers(new TomcatContextCustomizer(){
                
                @Override
                public void customize(Context context) {
                    SecurityConstraint constraint = new SecurityConstraint();
                    SecurityCollection collection = new SecurityCollection();
                    //http方法
                    collection.addMethod("PUT");
                    collection.addMethod("DELETE");
                    collection.addMethod("HEAD");
                    collection.addMethod("OPTIONS");
                    collection.addMethod("TRACE");
                    //url匹配表达式
                    collection.addPattern("/*");
                    constraint.addCollection(collection);
                    constraint.setAuthConstraint(true);
                    context.addConstraint(constraint );
                    //设置使用httpOnly
                    context.setUseHttpOnly(true);
                    
                }
            });
            return tomcatServletContainerFactory;
        }
    }

**Low, Cookie(s) without Secure flag set 没有设置安全标志的Cookie**

**![1162521-20190929152719887-1534136999.png][]**

HTTP设置cookie时，提供了2个属性，可以增强cookie的安全性，分别是secure属性和httpOnly属性。
    
    secure属性可防止信息在传递的过程中被监听捕获后导致信息泄露，如果设置为true，可以限制只有通过https访问时，才会将浏览器保存的cookie传递到服务端，如果通过http访问，不会传递cookie。
    
    httpOnly属性可以防止程序获取cookie，如果设置为true，通过js等将无法读取到cookie，能有效的防止XSS攻击

![1162521-20190930082447615-537569312.png][]

**解决方法（SpringBoot）：**

server:
      port: 
      contextPath: /
      session:
        cookie:
          http-only: true
          secure: true

**3.Informational, Possible username or password disclosure 存在用户名和密码泄露的可能**

**![1162521-20190929152849032-1691784939.png][]**

**Acunetix在扫码时会用正则匹配password，pwd等关键字来查看你js脚本中是否含有这些关键字。**

**解决办法：**

**密码类型避免使用password，pwd关键字作为参数传给服务端。**

**最后再次扫描，发现没有任何漏洞提示：**

**![1162521-20190929153319687-138527068.png][]**

转载于:https://www.cnblogs.com/SimonHu1993/p/11608163.html

[Acunetix]: http://www.pc0359.cn/downinfo/117926.html
[1162521-20190929152024901-850066388.png]: /images/20230601/2dc37f966dff4fcfb6027ca159116811.png
[1162521-20190929152105439-1044999539.png]: /images/20230601/d4486fa277724d7ea43af1b758dca691.png
[1162521-20190929152500402-667612441.png]: /images/20230601/7f8add3b94734603ab3e8af44a320cb0.png
[1162521-20190929152719887-1534136999.png]: /images/20230601/3351f3b0a3f94c2d95231ce79a8746e4.png
[1162521-20190930082447615-537569312.png]: /images/20230601/e62ea066625743eea342deee6960f114.png
[1162521-20190929152849032-1691784939.png]: /images/20230601/883d8bcfbecf48c8804ba22e05ed1201.png
[1162521-20190929153319687-138527068.png]: /images/20230601/0f592687d3174ccca080513a4c692927.png