JavaWeb 项目安全问题及其解决方案
来源:互联网 发布:支付宝java服务端 编辑:程序博客网 时间:2024/05/15 07:40
解决方案:最好使用至少6位的数字、字母及特殊字符组合作为密码。数据库不要存储明文密码,应存储MD5加密后的密文,由于目前普通的MD5加密已经可以被破解,最好可以多重MD5加密,或者多种加密方式叠加组合。
2.未使用用户名及密码登录后台可直接输入后台URL登录系统。
解决方案:通过配置filter来过滤掉无效用户的连接请求。
3.JSP页面抛出的异常可能暴露程序信息。有经验的入侵者,可以从JSP程序的异常中获取很多信息,比如程序的部分架构、程序的物理路径、SQL注入爆出来的信息等。
解决方案:自定义一个Exception,将异常信息包装起来不要抛到页面上。
4.合法用户“注销”后,在未关闭浏览器的情况下,点击浏览器“后退”按钮,可从本地页面缓存中读取数据,绕过了服务端filter过滤。
解决方案:配置filter对存放敏感信息的页面限制页面缓存。如:
httpResponse.setHeader("Cache-Control","no-cache");
httpResponse.setHeader("Cache-Control","no-store");
httpResponse.setDateHeader("Expires", 0);
httpResponse.setHeader("Pragma","no-cache");
5.SQL注入漏洞。
解决方案:在数据库访问层中不要使用“+”来拼接SQL语句!如:
String sql= “SELECT * FROM USERS WHERE 1=1”;if(null != user.getUserName() && !””.equals(user.getUserName())){
sql += “ and UNAME = ‘”+user.getUserName()+”’”;}
而应使用PreparedStatement。如:
PreparedStatement pstmt = con.prepareStatement("SELECT * FROM USERS WHERE UNAME=?");
pstmt.setString(1, “Neeke”);
如果项目中使用了Hibernate框架,则推荐使用named parameter。如:
String queryString = "from Users where uname like :name";
冒号后面是一个named parameter,我们可以使用Query接口将一个参数绑定到name参数上:
List result = session.createQuery(queryString)
.setString("name", user.getUserName())
.list();
6.文件上传漏洞。前台仅使用JS对文件后缀做了过滤,这只能针对普通的用户,而恶意攻击者完全可以修改表单去掉JS校验。
解决方案:前台JS过滤加服务器端程序过滤。具体过滤掉哪些文件类型视具体情况而定。
7.可执行脚本漏洞。对用户提交的数据未转义,一些用户提交的含有JavaScript脚本的信息被直接输出到页面中从而被浏览器执行。
解决方案:使用org.apache.commons.lang.StringEscapeUtils对用户提交的数据进行转义。如:
@RequestMapping(params="method=addTopic",method=RequestMethod.POST)public ModelAndView addTopic(HttpServletRequest request, HttpServletResponse response, BbsTopic topic){
BaseAdmin user = (BaseAdmin) request.getSession().getAttribute(Constant.SESSION_USER);
topic.setBaseAdmin(user);
topic.setTopicDate(new Timestamp(System.currentTimeMillis()));
topic.setTopicContent(StringEscapeUtils.escapeHtml(topic.getTopicContent()));
topic.setTopicTitle(StringEscapeUtils.escapeHtml(topic.getTopicTitle()));this.bbsTopicService.save(topic);return new ModelAndView(new RedirectView("bbs.do?method=topicList&bfid="+ topic.getBfid()));}
8.Java WEB容器默认配置漏洞。如TOMCAT后台管理漏洞,默认用户名及密码登录后可直接上传war文件获取webshell。
解决方案:最好删除,如需要使用它来管理维护,可更改其默认路径,口令及密码。
9、 日志,建议增加服务的访问日志,记录来访者的 IP ,传递参数,对后台操作用户建立日志,记录其操作内容。完善的日志记录可以帮助你发现潜在的危险,找到已经发生的问题。
10.重放攻击.
11.僵尸网络暴力破解(非弱口令)
12,登录表单http明文提交
13.千万不要乱用数据类型。使用基本数据类型,少用包装类。包装类容易被攻击。不要用String去接受所有类型数据。原则上:是什么类型就用什么类型去接收。
14.通过架构设计,添加一层设置处理http参数(验证数据的类型、合法性、长度和范围)。一般都是通过aop来实现。比如:对邮件、手机的验证,对非法数字(小于0)的验证,对整数最大值的验证,对字符串最大长度的验证等。
15,点击劫持.大概有两种方式,一是攻击者使用一个透明的iframe,覆盖在一个网页上,然后诱使用户在该页面上进行操作,此时用户将在不知情的情况下点击透明的iframe页面;二是攻击者使用一张图片覆盖在网页,遮挡网页原有位置的含义;
- JavaWeb 项目安全问题及其解决方案
- JavaWeb 项目安全问题及其解决方案
- JavaWeb 项目安全问题及其解决方案
- JavaWeb 安全问题及解决方案
- JavaWeb 安全问题及解决方案
- javaWeb安全问题
- Java WEB项目安全问题及解决方案
- 关于 SimpleDateFormat 的非线程安全问题及其解决方案
- 关于 SimpleDateFormat 的非线程安全问题及其解决方案
- javaweb项目大数据处理的解决方案
- 关于JavaWeb 项目出现红叉解决方案
- 项目安全问题
- 网站安全问题及其危害
- javaweb谈一谈Servlet线程安全问题
- QQ安全问题完全解决方案
- QQ安全问题完全解决方案
- AppScan安全问题解决方案
- 线程安全问题的解决方案
- 杭电1257(最长递增子序列O(N*N)+O(N*logN))
- leetcode 354. Russian Doll Envelopes
- Android工具类之Bitmap图片处理
- 数据结构存在的意义
- Python.h No such file or directory问题解决
- JavaWeb 项目安全问题及其解决方案
- Java之旅20160801
- FAT32文件系统
- coderforces 702AMaximum Increase
- Color.argb(f,r,g,b);
- android侧滑菜单,slidingmenu集成进androidstudio以及使用
- 文章标题 HDU 3853:LOOPS (概率DP)
- hdu 1325(Is It A Tree?)
- WINDOWS.H already included.MFC apps must not #include <windows.h>