漏洞扫描常见修复方案
1、Apache JServ protocol service
描述:
问题出在Tomcat的8009端口,错误的提示是8009端口上运行着tcp协议。
修复方案:
解决办法:
只能是通过关闭8009端口来实现
Apache JServ protocol = AJP 解决方案:修改tomcat 的service.xml配置文件 将
<Connector port="8009" protocol="AJP/1.3" redirectPort="8443" /> 这一行注释掉
2、Slow HTTP DEnial of Service Attack
描述:利用HTTP POST请求时,指定一个非常大的content-length,然后以很低的速度发包,比如10-100s发一个字节并保持这个连接不断开。当客户端连接数达到一定程度,占用服务器的所有可用连接,从而导致DOS。
修复方案:
对web服务器的http头部传输的最大许可时间进行限制,修改成最大许可时间为20 秒
以tomcat为例,打开server.xml找到<Connector port="8080" protocol="HTTP/1.1"connectionTimeout="20000"redirectPort="8443" />将其中的connectionTimeout="20000"改为connectionTimeout="8000",其单位是毫秒。
3、Apache Tomcat sample files
描述:Apache Tomcat示例目录漏洞
修复方案:
删除Tomcat默认安装目录下所有文件
4、HTML form without CSRF protection
描述: HTML form without CSRF protection =HTML表单没有CSRF保护
修复方案:
html头部引入
<%@ page language="java" import="java.util.*" pageEncoding="UTF-8"%>
String uuid = UUID.randomUUID().toString().replaceAll("-", "");request.getSession().setAttribute("randTxt",uuid);//设置cookie只读String sessionid = request.getSession().getId();response.setHeader("SET-COOKIE", "JSESSIONID=" + sessionid + "; secure ; HttpOnly");
from表单中映入隐藏input
<input type="hidden" name="randSesion" value = "<%=request.getSession().getAttribute("randTxt")%>" />
5、Apache Tomcat Application Error
描述:
当服务器出现错误的时候,发生500错误时,有关服务器出现的问题信息,会展现在浏览器的页面上Tomcat的路径,这样就会把服务器的路径暴露在对服务器攻击的攻击者,攻击者可以利用这些信息进行攻击,所以需要我们处理这些错误的提示信息!
修复方案:
<Host/>属性:name:主机域名appBase:该主机下的所有应用所在的文件目录在conf/catalina.properties中最后添加2行:tomcat.util.http.parser.HttpParser.requestTargetAllow=|{}
org.apache.tomcat.util.buf.UDecoder.ALLOW_ENCODED_SLASH=true在conf/server.xml中的<Connector>节点中,添加2个属性:relaxedPathChars="|{}[]"
relaxedQueryChars="|{}[]"
JQUERY版本过低
修复方案:
修改文件中的所有版本好为最新版本
末尾加上$.fn.jquery = "";
SSL证书版本低修复
修复方案
生成新的证书替换
keytool -genkey -alias jboss -keypass 123456 -keyalg RSA -keysize 2048 -validity 36500 -keystore /Users/server_bac.keystore -storepass 123456
漏洞扫描常见修复方案相关推荐
- 代码漏洞扫描常见漏洞
代码漏洞扫描常见漏洞 1.日志注入(Log Forging漏洞) 漏洞描述 将未经验证的用户输入写入日志文件可致使攻击者伪造日志条目或将恶意信息内容注入日志. 在以下情况下会发生日志伪造的漏洞: 数据 ...
- Log4j 严重漏洞修最新修复方案参考
CVE-2021-44228,原理上是 log4j-core 代码中的 JNDI 注入漏洞.这个漏洞可以直接导致服务器被入侵,而且由于"日志"场景的特性,攻击数据可以多层传导,甚至 ...
- ajax无刷新kesion,Kesion cms注入漏洞分析及其修复方案
函数过滤混乱导致注入 复制代码代码如下: Dim KS:Set KS=New PublicCls Dim Action Action=KS.S("Action") Select C ...
- Log4j2核弹级漏洞线上修复方案!
一.漏洞描述2月9日晚,Apache Log4j2反序列化远程代码执行漏洞细节已被公开,Apache Log4j-2中存在JNDI注入漏洞,当程序将用户输入的数据进行日志记录时,即可触发此漏洞,成功利 ...
- Apache Log4j2 RCE 命令执行漏洞预警及修复方案
漏洞名称:Apache Log4j2远程代码执行漏洞 组件名称:Apache Log4j2 截止2021年12⽉10⽇,受影响的Apache log4j2版本: 2.0≤Apache Log4j< ...
- linux查看漏洞修复情况,linux 漏洞扫描补丁修复
亲测5.9 32位-6.5 64位可用,无需删除旧版本ssh 编译安装. 1.建立备用连接.telnet yum install telnet telnet-server vi /etc/xinetd ...
- 常见主机漏洞及修复方案
1.openssh累积型漏洞 高 cve-2017-10012 修复意见: 升级版本至>=openssh-5.3p1-122.el6 2.NTP累积型漏洞 高 修复意见: 稳定版请尽快安装 ...
- Linux glibc 库的修复方案扯出更严重的新漏洞
聚焦源代码安全,网罗国内外最新资讯! 作者:Steven J. Vaughan-Nichols 编译:代码卫士 GNC C Library (glibc) 库对 Linux 至关重要.因此当它出问题 ...
- AppScan 10(漏洞扫描工具) 安装及功能简介
一.简介 AppScan是一款Web应用安全测试工具,采用黑盒测试的方式,可以扫描常见的web应用安全漏洞.其工作原理,首先是根据起始页爬取站下所有可见的页面,同时测试常见的管理后台:获得所有页面之后 ...
最新文章
- android 背景图太大,android – 背景图片需要太长时间才能画(Canvas)Jerky Sprites ……?...
- 大一计算机考试题库window,2016年计算机考试Windows题库及答案
- 【运营干货】段子手打死也不会告诉广告主的事:一篇新媒体文案如何才能引发用户分享?...
- ZOJ 2317	Nice Patterns Strike Back(矩阵快速幂)
- 网站重启服务器有啥好处,常规服务器重启的好处和障碍
- 改善代码可测性的若干技巧
- Android开发笔记1之HelloWorld
- 一次redis集群连接数占满问题的排查
- Centos7 / RHEL 7 双网卡绑定
- revit2019 导出obj_Revit模型转obj模型插件
- FAT文件系统与文件恢复
- 常见的几种多媒体设计框架
- 宋朝五子登科家族金榜进士涂大任后裔在松滋
- RoaringBitmap数据结构以及精确去重UDAF实现
- 饮食控制和维生素干预下肠道菌群的变化
- 算法笔记(二叉树、红黑树、b+树等)
- 2021年电工(中级)报名考试及电工(中级)考试资料
- 树莓派linux led字符设备驱动(信号量)
- JAVA中随机数的选取方法
- 计算机英语nic,计算机与网络英语词汇(N2)
热门文章
- 推荐一部电影Mark zuckerberg的社交网络创业史
- JamesBin专属工控PLC博客导航
- 物理服务器迁移至虚拟机后网卡,关于VMware虚拟网卡net1与net8消失及虚拟机与物理机相互ping不通心得...
- linux服务器是什么
- 深圳IB学校哪家强?入学标准如何?
- ASM 无法发现候选磁盘组----grid 11.2.0.3 asm 自检通不过 prvf-5184
- Redis: pipeline基本原理以及Jedis和Redisson的实现示例
- 怎么用计算机做模型,如何运用ArcScene制作简洁的三维建模
- 【错误解析】关于ORA-4025错误
- leetcode-LCP 35