都是基于Springboot2.x整改

一.Insecure Transport: Weak SSL Cipher
Insecure Transport: Weak SSL Cipher（11285）
Insecure Transport: Weak SSL Protocol(11516)
Insecure Transport: Weak SSL Protocol(11395)

需要进行两步操作:
1.SSL弱秘钥,升级通信协议到TLSv1.2
在application.yaml配置
server.ssl.protocol: TLSv1.2
2.修改ssl使用的Cipher算法
ciphers: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_128_GCM_SHA256

二.Password Management: Weak Password Policy（11496）
使用强密码，至少8位，有大小写，字母数字，带有特殊符号，例如#,!

三.Cookie Security: Cookie not Sent Over SSL（4720）
cookie在传输的时候要使用ssl加密
有两种情况:
1.如果用户验证使用的是spring secure
则在application.yml中配置:
server.servlet.session.cookie.secure=true
2.如果用户验证使用的是shiro,则需要在shiro的ShiroConfig中配置:

//(1)先改JSESSIONID,cookie
public DefaultWebSessionManager sessionManager() {sessionManager.setSessionIdCookie(sessionIdCookie());
}
private SimpleCookie sessionIdCookie() {SimpleCookie cookie = new SimpleCookie(""JSESSIONID"");cookie.setHttpOnly(true);cookie.setSecure(true);return cookie;}
//(2)再改remenbermeCookie:
public SecurityManager securityManager() {securityManager.setRememberMeManager(rememberMeManager());
}@Beanpublic SimpleCookie rememberMeCookie() {// 这个参数是cookie的名称，对应前端的checkbox 的name = rememberMeSimpleCookie simpleCookie = new SimpleCookie(""rememberMe"");simpleCookie.setSecure(true);return simpleCookie;}@Bean(name = ""cookieRememberMeManager"")public CookieRememberMeManager rememberMeManager() {CookieRememberMeManager cookieRememberMeManager = new CookieRememberMeManager();cookieRememberMeManager.setCookie(rememberMeCookie());return cookieRememberMeManager;}"

四.Web Server Misconfiguration: Unprotected Directory ( 4731 )
访问的URL目录中存在敏感字符，比如xx/script/xxx这种，容易给攻击提示信息，改成别的名称
五.Privacy Violation: Inconsistent Feedback ( 11418 )
意思是不能返回不同的信息，比如在验证用户登录的时候，不能提示“用户不存在”，“密码错误”等确切的错误，而是统一返回“用户名密码错误”，以免攻击通过提示信息进行测试，攻击
六.SSL证书
Often Misused: Weak SSL Certificate（11380）
Web Server Misconfiguration: SSL Certificate Hostname Discrepancy(4725)
使用正版CA授权证书
七.Cross-Site Request Forgery ( 10963 )
操作步骤如下:
"使用csrf过滤，在表单中添加token,操作步骤如下,这里使用的thymeleaf视图:
1.在表单中添加

<input th:id=""${_csrf.parameterName}"" th:name=""${_csrf.parameterName}"" th:value=""${_csrf.token}"" type=""hidden"">

2.在ajax提交的header添加

//先获取表单的值
var csrf_name = document.getElementById('csrf_token').getAttribute(""name"");
var csrf_value = document.getElementById('csrf_token').getAttribute(""value"");
//再在ajax提交的头部中添加
beforeSend: function (XMLHttpRequest) {XMLHttpRequest.setRequestHeader(csrf_name, csrf_value);};

3.在springboot中配置上

@Configuration
@EnableWebSecurity
public class SecuityConfig extends WebSecurityConfigurerAdapter{@Overrideprotected void configure(HttpSecurity http) throws Exception {http.csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());}
}

webInspect SprinBoot2.x安全整改相关推荐

平流式隔油池计算_当隔油池整改工作遇上“露天铁板烧”
八点半的太阳虽然火力不猛但是每一排车座已经被烧至了七成热这时候放入执法队员 -- 眼下正值一年中最热的"三伏天" 对于那些仍要在外面坚守岗位的执法队员们来说这一整天下来就像 ...
无限极：对虚假宣传行为查处不力推十条整改措施
中新网1月28日电无限极今日发表声明称,将进一步响应整治"保健"市场乱象百日行动,承担主体责任,落实专项整改. 声明全文如下: 1月8日,国家市场监督管理总局等13部委联合发出& ...
6个整改！2018年国家重点实验室评估结果公布
来源:科技部网站近日,国家科技部公布了2018年工程和材料领域国家重点实验室评估处理结果.本次64个实验室参加评估,其中工程领域共有43个,材料领域共有21个.评估结果显示,共有6个实验室要求整改, ...
2018网站信息系统安全等级保护限期整改通知书的处理解决方案
2019独角兽企业重金招聘Python工程师标准>>> 2018年6月,我们接到一位来自北京的新客户反映,说是他们单位收到一封来自北京市公安局海淀分局网安大队的通知书,通知称:贵单位 ...
HP Webinspect 10 访问wap的url
HP Webinspect是著名的扫描工具,这里讲一下怎么使用它扫wap的url. 通俗的讲,Wap是手机网页浏览器使用的网页,web是电脑网页浏览器使用的网页.(讲得不专业,但方便理解) 在手机上显 ...
网络推广外包专员浅析货拉拉坠车事件后宣布整改增加录音录像功能
还记得前一阵子货拉拉坠车事件发生以来,让不少用户对货拉拉的安全隐患产生忧虑,为此,货拉拉为了进一步推广运营维护企业自身形象,选择及时进行软件整改并增加录音录像功能,在试运行后逐步优化推广至全国.网络推 ...
晒晒公司整改后的拓扑图和设备
最近公司因ERP系统扩充,需要对网络进行整改,小弟发给已经改好的网络拓扑图和设备,请大侠们给看看 ,,还有什么地方需要在细化的...小弟再次感谢.. 因担心一个100M光纤交换机传输速度慢.所以车间内 ...
开关电源雷击浪涌整改_大佬多年经验总结，开关电源EMI整改策略
以下是作者分享有关开关电源EMI整改的多年经验总结,包括:开关电源设计前 EMI 一般应对策略,开关电源设计后 EMI 的实际整改策略等,总共有 99 条经验,希望能帮助大家. EMC的分类及标准: ...
emc整改措施及案例_12.5EMC一点通||EMC整改措施
点击关注,EMC学习技巧一点通! EMC整改措施静电精要 1.第一个是疏导,也就是说快速泄放掉静电电流,或者是通过其他的路径,尽量避开相关的敏感器件. 2.第二个就是围堵,就是通过相应的措施使静电放 ...

webInspect SprinBoot2.x安全整改

都是基于Springboot2.x整改

webInspect SprinBoot2.x安全整改相关推荐

最新文章

热门文章