安全扫描漏洞解决

青旅半醒 2022-01-28 15:01 702阅读 0赞

**Appscan漏洞 已解密的登录请求**

该漏洞，可能会窃取诸如用户名和密码等未经加密即发送了的用户登录信息；

整改方案：

1.对于用户名和密码等敏感信息，字段名匿名， 字段内容行非对公私钥加密处理;

2.采用post请求；

3.启用https协议；

**SQL注入漏洞**

在系统部分url处存在该漏洞，该漏洞可能会查看、修改或删除数据库条目和表；

整改方案：

1.请求参数进行过滤一些非法的字符，防止用户输入恶意的字符传入到数据库中执行sql语句；

2.对用户提交的的特定参数安全过滤，像一些特殊的字符（，（）\*&……%\#等等）进行字符转义操作,以及编码的安全转换；

具体处理 后台增加请求拦截；前端提交的的特定参数（可能包括特殊字符）转义 如富文本记录；

**跨站点脚本编制漏洞**

在系统部分url处存在该漏洞，该漏洞可能会窃取或操纵客户会话和 cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事务；

整改方案：

1.验证HTTP Referer字段；2.新增参数校验位，参数与用户登陆信息加密；实现一人一参；3.在HTTP头中自定义属性并验证

**跨站点请求伪造漏洞|已解密的登录请求漏洞**

该漏洞，可能会窃取或操纵客户会话和 cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事务；

整改方案：

1.后台验证HTTP Referer字段是否未本网站；

2.提交的表单使用 one-time-nonce

**通过框架钓鱼漏洞**

该漏洞，可能会劝说初级用户提供诸如用户名、密码等敏感信息；

整改方案：

1.对用户输入正确执行危险字符清理（没有明白怎么处理，希望有人留言）

**会话标识未更新漏洞**

该漏洞，可能会窃取或操纵客户会话和 cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事务；

整改方案：

1.登陆成功后，向session 重新写入一个新值；拦截器判断有session 无该值，返回不合法；

**使用 HTTP 动词篡改的认证旁路漏洞**

该漏洞，可能会升级用户特权并通过 Web 应用程序获取管理许可权可能会收集有关 Web 应用程序的敏感信息，如用户名、密码、机器名和/或敏感文件位置；

整改方案：将您的服务器配置为仅允许所需 HTTP 方法

发表评论取消回复

表情：

评论列表（有 0 条评论，702人围观）

还没有评论，来说两句吧...

相关阅读

相关 MySQL服务器安全漏洞扫描结果分析

MySQL服务器的安全漏洞扫描结果分析主要包括以下几个步骤： 1. **理解扫描报告**：首先，你需要仔细阅读并理解由扫描工具生成的报告。这通常包括已知漏洞、配置错误和弱口令

迷南。/ 2025年01月01日 11:27/ 0 赞/ 18 阅读

相关 fortify扫描安全漏洞，fastjson安全漏洞

astjson安全漏洞，升级版本后，引发的问题。使用fastjson将json字符串转换成对象 jsonStr：json格式的字符串 (Map<Strin...

朱雀/ 2024年04月18日 20:38/ 0 赞/ 103 阅读

相关什么是安全漏洞扫描？

从互联网兴起至今，利用漏洞攻击的网络安全事件不断，并且呈日趋严重的态势。每年全球因漏洞导致的经济损失巨大并且在逐年增加，漏洞已经成为危害互联网的罪魁祸首之一，也成了万众瞩目的焦

「爱情、让人受尽委屈。」/ 2024年03月24日 16:38/ 0 赞/ 72 阅读

相关常见网络安全设备：漏洞扫描设备

定义 [漏洞扫描][Link 1]是指基于漏洞数据库，通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测，发现可利用的漏洞的一种安全检测（渗透攻击）行为。

向右看齐/ 2024年02月19日 08:49/ 0 赞/ 81 阅读

相关常见网络安全设备：漏洞扫描设备

定义 [漏洞扫描][Link 1]是指基于漏洞数据库，通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测，发现可利用的漏洞的一种安全检测（渗透攻击）行为。

客官°小女子只卖身不卖艺/ 2023年10月10日 16:42/ 0 赞/ 19 阅读

相关网络安全-漏洞扫描

漏洞扫描方法 <table> <thead> <tr> <th align="center">名称</th> <th align="center

本是古典何须时尚/ 2023年02月17日 05:10/ 0 赞/ 66 阅读

相关应用安全漏洞扫描问题处理整理

文章目录【1】检测到目标站点存在javascript框架库漏洞【2】检测到目标主机可能存在缓慢的HTTP拒绝服务攻击

亦凉/ 2022年09月10日 03:24/ 0 赞/ 2002 阅读

相关漏洞扫描

APP漏洞扫描器之未使用地址空间随机化阿里聚漏洞扫描器有一个检测项叫未使用地址空间随机化技术, 本文主要介绍该项技术的原理和扫描器的检测方法。 APP漏洞扫描

忘是亡心i/ 2022年07月14日 12:53/ 0 赞/ 377 阅读

相关 Fortify扫描漏洞解决方案

Fortify扫描漏洞解决方案： Log Forging漏洞： 1.数据从一个不可信赖的数据源进入应用程序。在这种情况下，数据经由getParameter()到后

墨蓝/ 2022年03月09日 03:46/ 0 赞/ 1341 阅读

相关安全扫描漏洞解决

Appscan漏洞已解密的登录请求该漏洞，可能会窃取诸如用户名和密码等未经加密即发送了的用户登录信息；整改方案： 1.对于用户名和密码等敏感信息，字段名匿名，字段

青旅半醒/ 2022年01月28日 15:01/ 0 赞/ 703 阅读