应用安全漏洞扫描问题处理整理

亦凉 2022-09-10 03:24 2004阅读 0赞

### 文章目录 ###

*   *   *  【1】检测到目标站点存在javascript框架库漏洞
         *  【2】检测到目标主机可能存在缓慢的HTTP拒绝服务攻击
         *  【3】jQuery 存在 XSS 漏洞
         *  【4】检测到目标X-Content-Type-Options响应头缺失
         *  【5】检测到目标Referrer-Policy响应头缺失
         *  【7】检测到目标Strict-Transport-Security响应头缺失
         *  【8】点击劫持：X-Frame-Options未配置
         *  【9】HTTP动词篡改的认证旁路
         *  【10】检测到目标URL存在敏感词
         *  【11】检测到目标网站存在无效链接

### 【1】检测到目标站点存在javascript框架库漏洞 ###

描述  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16]

参考

1.原因就是jquery版本过低。升级到3.3以上  
2.在切换版本时注意，如果你的是新系统可以，如果是已有项目，那么建议切换版本v2.2.4，同时注意切换版本后检查系统各模块功能，尤其是后台系统中含有IFrame框架的

### 【2】检测到目标主机可能存在缓慢的HTTP拒绝服务攻击 ###

描述

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 1]

参考  
对应的通过Tomcat部署的程序，修改Tomcat 配置文件 server.xml 中的 <Connector … /> 配置中，设置connectiontimeout值，默认为20000ms，修改为8000ms；

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_17_color_FFFFFF_t_70_g_se_x_16]

### 【3】jQuery 存在 XSS 漏洞 ###

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 2]

参考  
升级版本

### 【4】检测到目标X-Content-Type-Options响应头缺失 ###

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 3]

参考

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 4]

### 【5】检测到目标Referrer-Policy响应头缺失 ###

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 5]  
参考  
修改服务端程序，给 HTTP 响应头加上 Referrer-Policy 如果是 java 服务端，可以使用如下方式添加 HTTP 响应头 response.setHeader(“Referrer-Policy”, “value”)

httpServletResponse.addHeader("Referrer-Policy", "origin");

### 【7】检测到目标Strict-Transport-Security响应头缺失 ###

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 6]

参考  
在网站全站HTTPS后，如果用户手动敲入网站的HTTP地址，或者从其它地方点击了网站的HTTP链接，通常依赖于服务端301/302跳转才能使用HTTPS服务。而第一次的HTTP请求就有可能被劫持，导致请求无法到达服务器，从而构成HTTPS降级劫持。这个问题目前可以通过HSTS(HTTP Strict Transport Security，RFC6797)来解决。

添加Strict-Transport-Security:max-age=31536000; includeSubDomains的响应头，如下图：

![在这里插入图片描述][2db6cd2e52b1424c9e8b895bfabaa5d7.png]

说明：

HSTS响应头格式

Strict-Transport-Security: max-age=expireTime \[; includeSubDomains\] \[; preload\]

max-age，单位是秒，用来告诉浏览器在指定时间内，这个网站必须通过HTTPS协议来访问。也就是对于这个网站的HTTP地址，浏览器需要先在本地替换为HTTPS之后再发送请求。

includeSubDomains，可选参数，如果指定这个参数，表明这个网站所有子域名也必须通过HTTPS协议来访问。

preload，可选参数，一个浏览器内置的使用HTTPS的域名列表。

### 【8】点击劫持：X-Frame-Options未配置 ###

描述  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 7]  
参考  
选择SAMEORIGIN:页面只能被本站页面嵌入到iframe或者frame中。

httpServletResponse.addHeader("X-Frame-Options", "SAMEORIGIN");

\#\#\#【9】检测到目标X-Download-Options响应头缺失  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 8]

参考

httpServletResponse.addHeader("X-Download-Options","noopen");

### 【9】HTTP动词篡改的认证旁路 ###

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 9]  
参考

在Tomcat服务器的web.xml上配置，路径tomcat/conf/web.xml。修改内容如下：

<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
      xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
      xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee
                          http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd"
      version="3.1">
      
        <security-constraint>
            <web-resource-collection>
                <web-resource-name>http method security</web-resource-name>
                <url-pattern>/*</url-pattern> <http-method>PUT</http-method> <http-method>DELETE</http-method> <http-method>HEAD</http-method> <http-method>TRACE</http-method> </web-resource-collection> <auth-constraint/> </security-constraint>

重新部署程序，重启tomcat即可完成  
以上的代码添加到某一个应用中，也可以添加到tomcat的web.xml中，区别是添加到某一个应用只对某一个应用有效如果添加到tomcat的web.xml中，则对tomcat下所有的应用有效。

### 【10】检测到目标URL存在敏感词 ###

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 10]  
参考

这个需要注意，出现该问题可能是请求的静态文件JS/CSS等被识别出含有敏感词汇，经过排查发现问题在于下面的字体文件，可以根据需要替换或者删除  
![在这里插入图片描述][7f83e9b8ac79462ca34ffb312729ae01.png]

### 【11】检测到目标网站存在无效链接 ###

【1】应用需要配置404跳转页面  
【2】如果部署在Tomcat下并且上下文路径不是 / ，那么需要修改tomcat的上下文路径或者设置404页面

注意事项：tomcat8和tomcat9的配置不同，如果配置错误不会报错但是不生效，在配置前请检查自己的版本情况

[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16]: /images/20220829/ef5e5e6456b049abaad3dc376a5ca808.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 1]: /images/20220829/dd23eedd83e04b27ae2134d74cbef047.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_17_color_FFFFFF_t_70_g_se_x_16]: /images/20220829/8260e12a0ed24940a025e596144204d0.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 2]: /images/20220829/996fbbc84d0f4f50a7cf85a6a4d477cd.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 3]: /images/20220829/7554411ae77441f2a551fb0897eb6e3d.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 4]: /images/20220829/5e238fb1f80a4477b7e390f4e222ffd7.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 5]: /images/20220829/c7ab618a92d0473790b822e9e4a77def.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 6]: /images/20220829/14adfeecefdf427d9e8c7c9bc7f4e45a.png
[2db6cd2e52b1424c9e8b895bfabaa5d7.png]: /images/20220829/539e880213594b3daf71eca65d0f1341.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 7]: /images/20220829/36daeecee45b4437a91134560a380176.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 8]: /images/20220829/7c9005b24a1046d096f1c83fde3cdb7c.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 9]: /images/20220829/f54dabb9097c4141938c313d4c63f726.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAWldaaGFuZ1l1_size_20_color_FFFFFF_t_70_g_se_x_16 10]: /images/20220829/38a298ada19e422db5ea1c65d33eea58.png
[7f83e9b8ac79462ca34ffb312729ae01.png]: /images/20220829/27eb53214cc94330a9395e69503ea19b.png