AppScan安全漏洞报告
来源:互联网 发布:林小宅扒皮 知乎 编辑:程序博客网 时间:2024/06/07 20:18
分类:数据库/MySQL/文章
1.会话cookie 中缺少HttpOnly 属性。
修复任务: 向所有会话cookie 添加“HttpOnly”属性
解决方案,过滤器中,
2.跨站点请求伪造。修复任务: 拒绝恶意请求。
解决方案,过滤器中
3.Autocomplete HTML Attribute Not Disabled for Password Field
修复任务: Correctly set the "autocomplete" attribute to "off"
4.HTML 注释敏感信息泄露。删除注释信息。
5.跨站点脚本编制,SQL 盲注,通过框架钓鱼,链接注入(便于跨站请求伪造)。修复任务: 过滤掉用户输入中的危险字符
修复任务: 向所有会话cookie 添加“HttpOnly”属性
解决方案,过滤器中,
- HttpServletResponse response2 = (HttpServletResponse)response;
- //httponly是微软对cookie做的扩展,该值指定 Cookie 是否可通过客户端脚本访问,
- //解决用户的cookie可能被盗用的问题,减少跨站脚本攻击
- response2.setHeader( "Set-Cookie", "name=value; HttpOnly");
2.跨站点请求伪造。修复任务: 拒绝恶意请求。
解决方案,过滤器中
- //HTTP 头设置 Referer过滤
- String referer = request2.getHeader("Referer"); //REFRESH
- if(referer!=null && referer.indexOf(basePath)<0){ request2.getRequestDispatcher(request2.getRequestURI()).forward(request2, response);
- }
3.Autocomplete HTML Attribute Not Disabled for Password Field
修复任务: Correctly set the "autocomplete" attribute to "off"
- 密 码:
- <input name="userinfo.userPwd" type="password" autocomplete = "off"/>
4.HTML 注释敏感信息泄露。删除注释信息。
5.跨站点脚本编制,SQL 盲注,通过框架钓鱼,链接注入(便于跨站请求伪造)。修复任务: 过滤掉用户输入中的危险字符
- private String filterDangerString(String value) {
- if (value == null) {
- return null;
- }
- value = value.replaceAll("\\|", "");
- value = value.replaceAll("&", "&");
- value = value.replaceAll(";", "");
- value = value.replaceAll("@", "");
- value = value.replaceAll("'", "");
- value = value.replaceAll("\"", "");
- value = value.replaceAll("\\'", "");
- value = value.replaceAll("\\\"", "");
- value = value.replaceAll("<", "<");
- value = value.replaceAll(">", ">");
- value = value.replaceAll("\\(", "");
- value = value.replaceAll("\\)", "");
- value = value.replaceAll("\\+", "");
- value = value.replaceAll("\r", "");
- value = value.replaceAll("\n", "");
- value = value.replaceAll("script", "");
- value = value.replaceAll("%27", "");
- value = value.replaceAll("%22", "");
- value = value.replaceAll("%3E", "");
- value = value.replaceAll("%3C", "");
- value = value.replaceAll("%3D", "");
- value = value.replaceAll("%2F", "");
- return value;
- }
0 0
- AppScan安全漏洞报告
- AppScan安全漏洞报告
- AppScan安全漏洞报告
- AppScan安全漏洞报告
- AppScan安全漏洞报告
- Appscan 安全漏洞修复
- appscan 安全漏洞修复
- AppScan安全漏洞解决方案
- Web 安全漏洞检测利器:Rational AppScan
- AppScan中的安全漏洞类型及解决方案
- 使用 Rational AppScan 检测 Web 服务安全漏洞
- 区块链开源安全漏洞分析报告
- AppScan
- AppScan
- AppScan
- appscan
- appscan
- IBM AppScan 安全扫描报告中部分问题的解决办法
- POD数据类型
- 逆向教程->anime radio逆向分析去广告(回编译错误分析)
- linux 环境下 用maven 创建项目(子项目分层创建)springMVC项目
- Demo POI
- CView中OnDraw()函数调用的时间
- AppScan安全漏洞报告
- leetCode:Convert Sorted Array to Binary Search Tree
- 有关ElasticSearch的一些备忘事项
- UNDEFINED REFERENCE TO `YYWRAP'
- Web 应用程序报告
- mybatis insert返回主键
- TexturePacker打包后的带透明度的图片在cocos2d-x中使用时有黑边
- Linux环境下段错误的产生原因及调试方法小结
- Handler和HandlerThread