WEB开发安全漏洞修复方案

密级：保密

WEB开发安全漏洞修复方案

（V1.0）

文档编号：文档名称：WEB开发安全漏洞修复方案编写：审核：

批准：批准日期：

技术研究部

文档修订记录

（V1.0） (1)

1.1背景 (1)

1.2FSDP安全漏洞清单 (1)

1.3安全漏洞修复方案 (1)

1.3.1会话标识未更新 (1)

1.3.2登录错误消息凭证枚举 (2)

1.3.3不充分帐户封锁 (2)

1.3.4跨站点脚本编制 (3)

1.3.5已解密的登录请求 (6)

1.3.6跨站点脚本编制 (10)

1.3.7通过框架钓鱼 (14)

1.3.8链接注入（便于跨站请求伪造） (19)

1.3.9应用程序错误 (26)

1.3.10SQL注入 (30)

1.3.11发现数据库错误模式 (40)

1.3.12启用了不安全的HTTP方法 (49)

1.3.13发现电子邮件地址模式 (51)

1.3.14HTML注释敏感信息泄露 (52)

1.3.15发现内部IP泄露模式 (53)

1.3.16主机允许从任何域进行flash访问 (54)

1.3.17主机应用软件漏洞修复 (54)

1.3.18目录列表 (55)

1.3.19跨站点请求伪造 (56)

1.1需要注意的问题 (57)

1.1背景

随着移动公司对信息安全的进一步加强，要求我们部署的系统必须满足安全扫描要求。本文档描述了安徽移动对FSDP安全扫描的漏洞的解决方案，并作为WEB开发的安全编程规范。

1.2FSDP安全漏洞清单

见《WEB开发安全漏洞清单.xlsx》

1.3 安全漏洞修复方案

1.3.1会话标识未更新

(一)URL

http://10.149.113.200/loginAction.do

(二)安全问题描述

根据WASC：“会话固定”是一种攻击技术，会强制用户的会话标识变成显式值。固定会话标识值的技术有许多种，会随着目标Web 站点的功能而不同。从利用“跨站点脚本编制”到向Web 站点密集发出先前生成的HTTP 请求，都在这些技术范围内。用户的会话标识固定之后，攻击者会等待用户登录，然后利用预定义的会话标识值来假定用户的联机身份。

(三)攻击方法

登录过程前后会话标识的比较，显示它们并未更新，这表示有可能伪装用户。初步得知会话标识值后，远程攻击者有可能得以充当已登录的合法用户。

任何时候，只要一名用户与应用程序的交互状态由匿名转变为确认，应用程序就应该发布一个新的会话令牌。这不仅适用于用户成功登录的情况，而且适用于匿名用户首次提交个人或其他敏感信息时。

(四)安全规范要求

COOKIE中的登陆前JSESSIONID与登陆后JESSIONID不能相同。（只有J2EE应用服务器为JESSIONID,其他应用服务器可能不同）

(五)解决方案

将如下代码加入到登陆页面（login.jsp）的最后行：

<%

request.getSession().invalidate();//清空session

Cookie cookie = request.getCookies()[0];//获取cookie

cookie.setMaxAge(0);//让cookie过期

%>

1.3.2登录错误消息凭证枚举

(一)URL

http://10.149.113.200/loginAction.do

(二)安全问题描述

当试图利用不正确的凭证来登录时，当用户输入无效的用户名和无效的密码时，应用程序会分别生成不同的错误消息。

通过利用该行为，攻击者可以通过反复试验（蛮力攻击技术）来发现应用程序的有效用户名，再继续尝试发现相关联的密码。这样会得到有效用户名和密码的枚举，攻击者可以用来访问帐户。

(三)攻击方法

修改http://10.149.113.200/loginAction.do的HTTP报文头：将参数“optrid”的值设置为“test123WithSomeChars”，除去cookie“JSESSIONID”，除去HTTP 头“Cookie=JSESSIONID”。

(四)安全规范要求

对每个错误的登录尝试发出相同的错误消息，不管是哪个字段发生错误，特别是用户名或密码字段错误。

(五)解决方案

LoginImpl.java类中getLoginInfo方法，涉及到登录错误提示的都改成：

“您输入的用户名或密码不正确！”。

登录超过3次数的改成：

“您尝试登陆失败超过"+Constans.LOGIN_ERROR_TIMES+"次，请30分钟后再登陆!”。

1.3.3不充分帐户封锁

(一)URL

http://10.149.113.200/loginAction.do

(一)安全问题描述

发送了两次合法的登录尝试，并且在其间发送了几次错误的登录尝试。最后一个响应与第一个响应相同。这表明存在未充分实施帐户封锁的情况，从而使登录页面可能受到蛮力攻

击。（即使第一个响应不是成功的登录页面，也是如此。）

(二)攻击方法

修改http://10.149.113.200/loginAction.do的HTTP报文头：除去cookie“JSESSIONID”，除去HTTP 头“Cookie=JSESSIONID”。

(三)安全规范要求

多次登录尝试失败后实施帐户封锁

(四)解决方案

LoginImp.java中的getLoginInfo方法，修订如下代码片段：

//判断登陆失败次数

if(!checkLoginError(logininfo)){

ret.setRetCode("0003");

ret.setRetDesc("您尝试登陆失败超过

"+Constans.LOGIN_ERROR_TIMES+"次，请

"+Constans.LOGIN_ERROR_LOCK_SECOND+"分钟后再登录!");

return ret;

}

//增加验证登陆错误次数代码

addLoginErrorRec(logininfo);

1.3.4跨站点脚本编制

(一)URL

http://10.149.113.200/callAction.do

http://10.149.113.200/loginAction.do

(二)安全问题描述

可能会窃取或操纵客户会话和cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事务。

(三)攻击方法

Web 站点中所包含的脚本直接将用户在HTML 页面中的输入（通常

是参数值）返回，而不预先加以清理。如果脚本在响应页面中返回由JavaScript 代码组成的输入，浏览器便可以执行此输入。因此，有可能形成指向站点的若干链接，且其中一个参数

包含恶意的JavaScript 代码。该代码将在站点上下文中（由用户浏览器）执行，这使得该代码有权访问用户在该站点中具有访问权的cookie，以及站点中其他可通过用户浏览器访问的窗口。

攻击依照下列方式继续进行：攻击者诱惑合法用户单击攻击者生成的链接。用户单击该链接时，便会生成对于Web 站点的请求，其中的参数值含有恶意的JavaScript 代码。如果Web 站点将这个参数值嵌入在响应的HTML 页面中（这正是站点问题的本质所在），恶意代码便会在用户浏览器中运行。

(四)安全规范要求

FSDP框架中在传递参数时有两个主要参数classes与common，一个指定要调用的service，一个是调用service中的方法，如果service或方法不存在，就会跳转到错误信息显示，并将详细的错误信息显示出来，如：callAction.do?method=call&nextPage=/oa/task/task_querylayout.jsp&c lasses=taskClientImpl&common=getInfoQueryDate这个URL，如果我们将URL 修改一下，变成如下：

callAction.do?method=call&nextPage=/oa/task/task_querylayout.jsp&c lasses=taskClientImpl&common=getInfoQue ryDate，通过这个URL执行时会提示service不存在，并跳转到错误页面，同时会弹出123信息的提示窗口，同时如果我们修改common参数也能达到这种效果

(五)解决方案

web.xml增加如下配置：

CROSS_DOMAIN_STR

<,>,%3C,%3E

Constans.java类增加如下变量：

/**

* 跨域特殊字符判断

*/

public static List CROSS_DOMAIN_STR = new ArrayList(); FriendOneServlet.java类增加initSafetyConf 安全初始化配置方法

private void initSafetyConf(){

Constans.CROSS_DOMAIN_STR.clear();

String crossDomainStr = getServletContext().getInitParameter("CROSS_DOMAIN_STR");

String[] crossDomainAry = crossDomainStr.split(",");

for(String s : crossDomainAry){

Constans.CROSS_DOMAIN_STR.add(s.trim());

}

Constans.LOGIN_ERROR_TIMES = getServletContext().getInitParameter("LOGIN_ERROR_TIMES"); Constans.LOGIN_ERROR_LOCK_SECOND = getServletContext().getInitParameter("LOGIN_ERROR_LOCK_SECOND"); https://www.360docs.net/doc/d613735638.html,(Constans.CROSS_DOMAIN_STR);

https://www.360docs.net/doc/d613735638.html,("LOGIN_ERROR_TIMES="+Constans.LOGIN_ERROR_TIMES); https://www.360docs.net/doc/d613735638.html,("LOGIN_ERROR_LOCK_SECOND="+Constans.LOGIN_ERROR_LOCK_S ECOND);

}

在init方法中直接调用

在ActionFilter.java类中增加checkCrossDomain 跨域特殊字符串检查，并在doFilter 中进行判断验证，如果存在特殊字符，则直接跳转到登陆界面

修改error.jsp,此处是用于处理返回的错误信息

目前是通过标签方式加载错误信息，此处可根据输入的条件来进行错误注入，执行js代码，修改该当如下：

一、将此错误标签通过textarea进行包装，错误信息是以文本方式显示，无法执行，如下：<html-el:errors />

同时修改BaseWebAction.java类的processError 方法，将sb.append(ste[i]).append("
"); 这段代码改为sb.append(ste[i]).append("\n");

二、无论返回什么错误信息，此处只显示“操作故障，请确认操作是否合法或联系管理员检查！”

启用了不安全的HTTP 方法

/*

PUT

DELETE

HEAD

OPTIONS

TRACE

SEARCH

COPY

MOVE

PROPFIND

PROPPATCH

MKCOL

LOCK

UNLOCK

BASIC

1.3.5已解密的登录请求

(一)URL

http://10.149.113.200/loginAction.do

(二)安全问题描述

用户登录密码为明文

(三)攻击方法

可通过http报文截取登录用户密码

(四)安全规范要求

发送敏感信息时，始终使用SSL 和HTTP POST 方法

(五)解决方案

修改server.xml

port="8443" minSpareThreads="5" maxSpareThreads="75"

enableLookups="true" disableUploadTimeout="true"

acceptCount="100" maxThreads="200"

scheme="https" secure="true" SSLEnabled="true"

clientAuth="false" sslProtocol="TLS"

keystoreFile="D:/apache-tomcat-6.0.18/server.keystore"

keystorePass="friendone"/>

标红的地方注意，要与附件中server.keystore存放的位置一致

标蓝的8443要注意，外网的一律全用443端口，BOSS网系统还是全用8443端口。

修改web.xml，在welcome-file-list后面增加如下配置

CLIENT-CERT

Client Cert Users-only Area

BASIC

SSL

/*/oa/login.jsp为应用登录URL，此为公司OA则为此串*/

/oa/login.jsp

CONFIDENTIAL

fortune

/*

PUT

DELETE

HEAD

OPTIONS

TRACE

增加初始化变量：

HTTP_URI

8080

此为从https转到http时的跳转值，为应用部署服务器IP地址为端口

LoginAction.java修改如下：

Login方法修改如下：

String requesturl = request.getRequestURL().toString();

requesturl = requesturl.substring(requesturl.indexOf("//") + 2);

requesturl = requesturl.substring(0,

requesturl.indexOf(":"));

response.sendRedirect("http://"+requesturl+":"+Constans.HTTP_UR I+request.getContextPath()+"/loginAction.do?method=flogin&sessi onid="+session.getId());

returnnull;

// clearTempFile();

//return new ActionForward("/"+Constans.PROJECT_NAME+"/frames/indexFrame.jsp");

增加以下方法：

public ActionForward flogin(ActionMapping mapping,ActionForm

form,HttpServletRequest request,HttpServletResponse response) throws Exception{

try{

String value = request.getParameter("sessionid");

HashMap sessions = (HashMap)

request.getSession().getServletContext().getAttribute("sessions");

HttpSession session = (HttpSession)sessions.get(value);

if(session != null){

HttpSession nsession = request.getSession();

nsession.setAttribute(Constans.LOGIN_USER,session.getAttribute(Con stans.

session = null;

}

returnnew

ActionForward("/"+Constans.PROJECT_NAME+"/frames/indexFrame.jsp");

}catch(Exception e){

logger.error("LoginAction Exception Error:"+e.toString());

throw e;

}

}

修改LoginAction.java类的systemLogout方法：

String requesturl = request.getRequestURL().toString();

requesturl = requesturl.substring(requesturl.indexOf("//") +

2);

requesturl = requesturl.substring(0, requesturl.indexOf(":"));

response.sendRedirect("http://"+requesturl+":"+Constans.HTT P_URI+request.getContextPath()+LOGINPAGE);

return null;

// return new ActionForward(LOGINPAGE);

1.3.6跨站点脚本编制

(一)URL

http://10.149.113.200/callAction.do

http://10.149.113.200/loginAction.do

(二)安全问题描述

“跨站点脚本编制”攻击是一种隐私违例，可让攻击者获取合法用户的凭证，并在与特定Web 站点交互时假冒这位用户。

这个攻击立足于下列事实：Web 站点中所包含的脚本直接将用户在HTML 页面中的输入（通常是参数值）返回，而不预先加以清理。如果脚本在响应页面中返回由JavaScript 代码组成的输入，浏览器便可以执行此输入。因此，有可能形成指向站点的若干链接，且其中一个参数包含恶意的JavaScript 代码。该代码将在站点上下文中（由用户浏览器）执行，这使得该代码有权访问用户在该站点中具有访问权的cookie，以及站点中其他可通过用户浏览器访问的窗口。

攻击依照下列方式继续进行：攻击者诱惑合法用户单击攻击者生成的链接。用户单击该链接时，便会生成对于Web 站点的请求，其中的参数值含有恶意的JavaScript 代码。如果Web 站点将这个参数值嵌入在响应的HTML 页面中（这正是站点问题的本质所在），恶意代码便会在用户浏览器中运行。

(三)攻击方法

A. 在响应页面中，返回发送给CGI 脚本的参数值，嵌入在HTML 中。

例如：[请求]

GET /cgi-bin/script.pl?name=JSmith HTTP/1.0

[响应]

HTTP/1.1 200 OK

Server: SomeServer

Date: Sun, 01 Jan 2002 00:31:19 GMT

Content-Type: text/html

Accept-Ranges: bytes

Content-Length: 27

Hello JSmith

B. 在HTML 参数值上下文中，返回发送给CGI 脚本的参数值。

例如：[请求]

GET /cgi-bin/script.pl?name=JSmith HTTP/1.0

[响应] HTTP/1.1 200 OK Server: SomeServer Date: Sun, 01 Jan 2002 00:31:19 GMT Content-Type:

text/html Accept-Ranges: bytes Content-Length: 254

Please fill in your zip code:

(四)安全规范要求

通过验证用户输入未包含危险字符，便可能防止恶意的用户导致应用程序执行计划外的任务，

例如：启动任意SQL 查询、嵌入将在客户端执行的Javascript 代码、运行各种操作系统命令，

等等。

建议过滤出所有以下字符：

[1] |（竖线符号）

[2] &（&符号）

[3];（分号）

[4] $（美元符号）

[5] %（百分比符号）

[6] @（at 符号）

[7] '（单引号）

[8] "（引号）

[9] \'（反斜杠转义单引号）

[10] \"（反斜杠转义引号）

[11] <>（尖括号）

[12] ()（括号）

[13] +（加号）

[14] CR（回车符，ASCII 0x0d）

[15] LF（换行，ASCII 0x0a）

[16] ,（逗号）

[17] \（反斜杠）

(五)解决方案

LoginImpl.java类中的getLoginInfo 方法，将之前的操作员工号与密码拼接方式改成SQL变量绑定方式

StringBuffer sqlbuf = new StringBuffer();

sqlbuf.append("SELECT .orgcode,https://www.360docs.net/doc/d613735638.html,erid,https://www.360docs.net/doc/d613735638.html,ername,A.password,A.va lidate,https://www.360docs.net/doc/d613735638.html,ertype,https://www.360docs.net/doc/d613735638.html,name,C.norgcode,https://www.360docs.net/doc/d613735638.html,type,");

sqlbuf.append(" now() AS logindate,sp_genseqfunc('S','D') AS

sessionid,");

sqlbuf.append(" (SELECT GROUP_CONCAT(B.datatype) FROM tb_userdatarel

B WHERE https://www.360docs.net/doc/d613735638.html,erid = ?) AS datatypes ,PASSWORD(?)=A.password AS

pwdiscorrect");

sqlbuf.append(" FROM tb_user A,tb_organization C");

sqlbuf.append(" WHERE https://www.360docs.net/doc/d613735638.html,erid = ? AND A.effdate <= CURDATE() AND

A.expdate >= CURDATE() AND https://www.360docs.net/doc/d613735638.html,code = https://www.360docs.net/doc/d613735638.html,code");

web.xml增加如下配置：

CROSS_DOMAIN_STR

<,>,%3C,%3E

GET_CROSS_DOMAIN_STR

<,>,",',%,;,(,),&,+,HTTP,http,%0a

Constans.java类增加如下变量：

/**

* 跨域特殊字符判断

*/

public static List CROSS_DOMAIN_STR = new

ArrayList();

public static List GET_CROSS_DOMAIN_STR = new ArrayList();

FriendOneServlet.java类增加initSafetyConf 安全初始化配置方法

private void initSafetyConf(){

Constans.CROSS_DOMAIN_STR.clear();

String crossDomainStr = getServletContext().getInitParameter("CROSS_DOMAIN_STR");

String[] crossDomainAry = crossDomainStr.split(",");

for(String s : crossDomainAry){

Constans.CROSS_DOMAIN_STR.add(s.trim());

}

crossDomainStr = getServletContext().getInitParameter("GET_CROSS_DOMAIN_STR"); crossDomainAry = crossDomainStr.split(",");

for(String s : crossDomainAry){

Constans.GET_CROSS_DOMAIN_STR.add(s.trim());

}

Constans.LOGIN_ERROR_TIMES = getServletContext().getInitParameter("LOGIN_ERROR_TIMES");

Constans.LOGIN_ERROR_LOCK_SECOND = getServletContext().getInitParameter("LOGIN_ERROR_LOCK_SECOND") ;

Constans.HTTP_URI = getServletContext().getInitParameter("HTTP_URI");

https://www.360docs.net/doc/d613735638.html,(Constans.CROSS_DOMAIN_STR);

https://www.360docs.net/doc/d613735638.html,("LOGIN_ERROR_TIMES="+Constans.LOGIN_ERROR_TIMES );

https://www.360docs.net/doc/d613735638.html,("LOGIN_ERROR_LOCK_SECOND="+Constans.LOGIN_ERROR

_LOCK_SECOND);

https://www.360docs.net/doc/d613735638.html,("HTTP_URI="+Constans.HTTP_URI);

}

在init方法中直接调用

在ActionFilter.java类中增加checkCrossDomain 跨域特殊字符串检查，并在doFilter 中进行判断验证，如果存在特殊字符，则直接跳转到登陆界面修改error.jsp,此处是用于处理返回的错误信息

目前是通过标签方式加载错误信息，此处可根据输入的条件来进行错误注入，执行js代码，修改该当如下：

一、将此错误标签通过textarea进行包装，错误信息是以文本方式显示，无法执

行，如下：

<p>readonly=true><html-el:errors />

同时修改BaseWebAction.java类的processError 方法，将sb.append(ste[i]).append("
"); 这段代码改为sb.append(ste[i]).append("\n");

二、无论返回什么错误信息，此处只显示“操作故障，请确认操作是否合法或联系

管理员检查！”

1.3.7通过框架钓鱼

(一)URL

http://10.149.113.200/callAction.do

(二)安全问题描述

网络钓鱼是一个通称，代表试图欺骗用户交出私人信息，以便电子欺骗身份。

攻击者有可能注入frame 或iframe 标记，其中含有类似受攻击之网站的恶意属性。不小心的用户有可能浏览它，但并不知道他正在离开原始网站，冲浪到恶意的网站。

之后，攻击者便可以诱惑用户重新登录，然后获取他的登录凭证。

(三)攻击方法

伪造的网站嵌入在原始网站中，这个情况对攻击者有帮助，因为他的网络钓鱼企图会披上更可信赖的外表。

利用的样本：

如果参数值未经适当清理便反映在响应中，那么下列请求：http://[SERVER]/script.aspx?parameter=

src="https://www.360docs.net/doc/d613735638.html,">会使响应含有通往这个邪恶站点的框架。

(四)安全规范要求

若干问题的补救方法在于对用户输入进行清理。

通过验证用户输入未包含危险字符，便可能防止恶意的用户导致应用程序执行计划外的任务，

例如：启动任意SQL 查询、嵌入将在客户端执行的Javascript 代码、运行各种操作系统命令，

等等。

建议过滤出所有以下字符：

[1] |（竖线符号）

[2] &（&符号）

[3];（分号）

[4] $（美元符号）

[5] %（百分比符号）

[6] @（at 符号）

[7] '（单引号）

[8] "（引号）

[9] \'（反斜杠转义单引号）

[10] \"（反斜杠转义引号）

2012-7-4 16:57:34 154/187

[11] <>（尖括号）

[12] ()（括号）

[13] +（加号）

[14] CR（回车符，ASCII 0x0d）

[15] LF（换行，ASCII 0x0a）

[16] ,（逗号）

[17] \（反斜杠）

以下部分描述各种问题、问题的修订建议以及可能触发这些问题的危险字符：

SQL 注入和SQL 盲注：

A. 确保用户输入的值和类型（如Integer、Date 等）有效，且符合应用程序预期。

B. 利用存储过程，将数据访问抽象化，让用户不直接访问表或视图。当使用存储过程时，请利

用ADO 命令对象来实施它们，以强化变量类型。

C. 清理输入以排除上下文更改符号，例如：

[1] '（单引号）

[2] "（引号）

[3] \'（反斜线转义单引号）

[4] \"（反斜杠转义引号）

[6] ;（分号）

跨站点脚本编制：

A. 清理用户输入，并过滤出JavaScript 代码。我们建议您过滤下列字符：

[1] <>（尖括号）

[2] "（引号）

[3] '（单引号）

[4] %（百分比符号）

[5] ;（分号）

[6] ()（括号）

[7] &（&符号）

[8] +（加号）

B. 如果要修订<%00script>变体，请参阅MS 文章 821349

C. 对于UTF-7 攻击： [-] 可能的话，建议您施行特定字符集编码（使用'Content-Type' 头或

标记）。

HTTP 响应分割：清理用户输入（至少是稍后嵌入在HTTP 响应中的输入）。

请确保输入未包含恶意的字符，例如：

[1] CR（回车符，ASCII 0x0d）

[2] LF（换行，ASCII 0x0a）远程命令执行：清理输入以排除对执行操作系统命令有意义的符

号，例如：

[1] |（竖线符号）

[2] &（&符号）

[3];（分号）

执行shell 命令：

A. 绝不将未检查的用户输入传递给eval()、open()、sysopen()、system() 之类的Perl 命令。

B. 确保输入未包含恶意的字符，例如：

[1] $（美元符号）

[2] %（百分比符号）

[3] @（at 符号）

XPath 注入：清理输入以排除上下文更改符号，例如：

[1] '（单引号）

LDAP 注入：

A. 使用正面验证。字母数字过滤（A..Z,a..z,0..9）适合大部分LDAP 查询。

B. 应该过滤出或进行转义的特殊LDAP 字符：

2012-7-4 16:57:34 155/187

[1] 在字符串开头的空格或“#”字符

[2] 在字符串结尾的空格字符

[3] ,（逗号）

[4] +（加号）

[5] "（引号）

[6] \（反斜杠）

[7] <>（尖括号）

[8] ;（分号）

[9] ()（括号）

MX 注入：

应该过滤出特殊MX 字符：

[1] CR（回车符，ASCII 0x0d）

[2] LF（换行，ASCII 0x0a）记录伪造：

应该过滤出特殊记录字符：

[1] CR（回车符，ASCII 0x0d）

[2] LF（换行，ASCII 0x0a）

[3] BS（退格，ASCII 0x08）

ORM 注入：

A. 确保用户输入的值和类型（如Integer、Date 等）有效，且符合应用程序预期。

B. 利用存储过程，将数据访问抽象化，让用户不直接访问表或视图。

C. 使用参数化查询API

D. 清理输入以排除上下文更改符号，例如： (*)：

[1] '（单引号）

[2] "（引号）

[3] \'（反斜线转义单引号）

[4] \"（反斜杠转义引号）

[5] )（结束括号）

[6] ;（分号）