常见WEB安全漏洞及整改建议

2. jQuery 跨站脚本漏洞

2.1 问题描述

jQuery是继prototype之后又一个优秀的Javascrīpt框架。

jQuery 1.6.3之前版本中存在跨站脚本漏洞。当使用location.hash选择元素时，通过特制的标签，远程攻击者利用该漏洞注入任意web脚本或HTML。

2.2 整改方法

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取：

.ubuntu./usn/USN-1722-1/

2.3 整改案例

升级jQuery版本。

3. 跨站脚本编制

3.1 问题描述：

跨站脚本攻击是通过在网页中加入恶意代码，当访问者浏览网页时恶意代码会被执行或者通过给管理员发信息的方式诱使管理员浏览，从而获得管理员权限，控制整个。攻击者利用跨站请求伪造能够轻松地强迫用户的浏览器发出非故意的HTTP请求，如诈骗性的电汇请求、修改口令和下载非法的容等请求。

风险等级：高

风险围：

任何存在输入/输出方法（包括GET与POST）的页面皆可能存在恶意符号输入缺陷，主要影响应用包括留言板、在线通讯信息、文章发布页面等。

3.2 整改建议：

对用户输入的参数执行严格检测：

1、对产生漏洞模块的传入参数进行有效性检测。int类型的只允许0-9的整型数字；string等字符类型的只允许(1-9，a-z，A-Z)的英文字母；

2、当客户端输入限定值意外的字符后，立即转向自定义的错误页，而不能使用服务器默认的错误输出方式；

3、对穿入参数进行危险字符过滤，禁止('、"、+、%、&、<>、（）、;、,.等)特殊字符的传入。

3.3 案例：

加固例（一）：

/*将login.jsp中[String u =request.getParameter("u");]替换为如下容：*/

String u = request.getParameter("u");

u = u.replace ('＜','_');

u = u.replace ('＞','_');

u = u.replace('"','_');

u = u.replace('\'','_');

u = u.replace ('%','_');

u = u.replace(';','_');

u = u.replace('(','_');

u = u.replace(')','_');

u = u.replace('&','_');

u = u.replace('+','_');

加固例（二）：

/*更积极的方式是利用正则表达式只允许输入指定的字符：*/

/*在[String u = request.getParameter("u");]后代入以下isValidInput函数作辨别*/

public boolean isValidInput(Stringstr)

{

if(str.matches("[a-z0-9]+"))return true;

else return false;

}

4. URL重定向钓鱼

4.1 3.1问题描述：

通过构建URL，攻击者可以使用户重定向到任意URL，利用这个漏洞可以诱使用户访问某个页面，挂马、密码记录、下载任意文件等，常被用来钓鱼。

4.2 3.2整改建议：

对输入参数进行做处理，建议过滤出所有以下字符：

[1] |（竖线符号）

[2] & （& 符号）

[3];（分号）

[4] $（美元符号）

[5] %（百分比符号）

[6] （at 符号）

[7] '（单引号）

[8] "（引号）

[9] \'（反斜杠转义单引号）

[10] \"（反斜杠转义引号）

[11] <>（尖括号）

[12] ()（括号）

[13] +（加号）

[14] CR（回车符，ASCII 0x0d）

[15] LF（换行，ASCII 0x0a）

[16] ,（逗号）

[17] \（反斜杠）

4.3 3.3案例：

对输入参数进行做处理。

加固例（一）：

/*将login.jsp中[String u = request.getParameter("u");]替换为如下容：*/

String u =request.getParameter("u");

u = u.replace ('＜','_');

u = u.replace ('＞','_');

u = u.replace ('"','_');

u = u.replace ('\'','_');

u = u.replace ('%','_');

u = u.replace (';','_');

u = u.replace ('(','_');

u = u.replace (')','_');

u = u.replace ('&','_');

u = u.replace ('+','_');

加固例（二）：

/*更积极的方式是利用正则表达式只允许输入指定的字符：*/

/*在[String u = request.getParameter("u");]后代入以下isValidInput函数作辨别*/

public boolean isValidInput(String str)

{

if(str.matches("[a-z0-9]+")) returntrue;

else return false;

}

5. 不安全存储

5.1 问题描述

不安全存储，在页面上显示密码。

5.2 整改建议

加密密码或不在页面及源码上显示密码。

5.3 案例

一切涉及敏感信息读写操作的页面，如登陆页面、登陆处理页面等。

风险例：

/*Add_user.jsp*/

String sql;

sql="insert into user(username,password) values (" + Username + "," + Password +")";

Statement sm =.createStatement();

sm.executeUpdate(sql);

sm.close();

加固例：

/*在生成sql变量容前加入对Password变量的加密处理：*/

<% pageimport="java.security.*" %>

<% pageimport="java.util.*" %>

…

public String byte2hex(byte[] b)//二行制转字符串

{

Stringhs="";

Stringstmp="";

for(int n=0;n

{

stmp=(https://www.360docs.net/doc/895756289.html,ng.Integer.toHexString(b[n]& 0XFF));

if(stmp.length()==1) hs=hs+"0"+stmp;

elsehs=hs+stmp;

//if(n

}

returnhs.toUpperCase();

}

…

java.security.MessageDigestalg=java.security.MessageDigest.getInstance( "SHA-256");

alg.update(Password.getBytes());

byte[] digest=alg.digest();

Password=byte2hex(digest);

6. 错误的页面信息

6.1 问题描述：

错误/警告消息，可能会泄露敏感信息。

6.2 整改建议：

在编码阶段开发者对敏感页面缺乏授权保护，导致相关URL页面敏感信息泄露。建议修改错误信息。

一切敏感或需要权限方可浏览的页面，包括：敏感信息中转处理页面、上传页面、管理平台页面、用户自管理页面等。

6.3 案例：

风险例：

/*风险例为一切需要敏感但编码阶段没有进行授权鉴别的页面*/

加固例：

if((session.getValue("UserName")==null)||(session.getValue("UserClass")== null)||(!session.getValue("UserClass").equals("系统管理员")))

{

response.sendRedirect("err.jsp?id=14");

return;

}

7. 已解密的登陆请求

7.1 问题描述：

用户名、密码输入字段未经加密即进行了传递。

7.2 整改建议：

确保所有登录请求都以https加密方式发送到服务器。

7.3 案例：

方法一：配置SSL加密传输

【概念理解】keystore 是一个密码保护的文件，用来存储密钥和证书

(1)生成一个keystore文件（包含证书），文件位置

/usr/local/tomcat/conf/.keystore

# cd /usr/local/jdk/bin/

# ./keytool -genkey -alias tomcat -keyalg RSA

-keystore/usr/local/tomcat/conf/.keystore

输入密码、提供你的信息即可。如果不是用来“玩”的话，请如实的填写自己以及单位的信息吧。

【注意】它会在前后问你两次密码，第二次直接回车就行了，如果两个密码不一样，将会出现java.io.IOException错误。详情请见：

[url]https://www.360docs.net/doc/895756289.html,/bugzilla/show_bug.cgi?id=38217[/url]

(2)修改tomcat/conf/server.xml

启用这一段：

<="" p="">

maxThreads="150" scheme="https" secure="true"

clientAuth="false"sslProtocol="TLS" />

并修改为：