appscan 安全漏洞修復

1.會話標識未更新：登入頁面加入以下** 

request.getsession(true).invalidate();//清空session

cookie cookie = request.getcookies()[0];//獲取cookie
cookie.setmaxage(0);//讓cookie過期

不是很明白session的機制，高手路過可以指教一下。 

2.跨站點請求偽造： 

在出錯的url加引數sessionid。 

response.getwriter().write(	"");

如果帶引數報ssl錯誤，使用下面的post方式傳值： 

response.getwriter().write(

"");

3.啟用不安全http方法 

修改web工程中或者伺服器web.xml,增加安全配置資訊，禁用不必要http方法

/* 
put 
delete 
head 
options 
trace 
basic 

4.已解密登入請求 

配置ssl，具體見

在web.xml加入如下配置。 

ssl  

/* 
confidential

5.快取記憶體的ssl頁面 

response.setheader("pragma", "no-cache");

6.目錄列表 

配置檔案目標拒絕訪問。 

在conf/web.xml下: 

default  

org.apache.catalina.servlets.defaultservlet 
debug 
0 
listings 
false 
1 

把listings對應的value設定為fasle. 

或者把上面的這個servlet加到你的虛擬路徑下的web-inf/web.xml   中,把 

default1  

org.apache.catalina.servlets.defaultservlet 
debug 
0 
listings 
false 
1 /

Appscan安全漏洞修復

1.會話標識未更新 登入頁面加入以下 request.getsession true invalidate 清空session cookie cookie request.getcookies 0 獲取cookie cookie.setmaxage 0 讓cookie過期 request.getse...

AppScan安全漏洞報告

b 1.會話cookie 中缺少httponly 屬性。b 修復任務 向所有會話cookie 新增 httponly 屬性 解決方案，過濾器中，httponly是微軟對cookie做的擴充套件,該值指定 cookie 是否可通過客戶端指令碼訪問,解決使用者的cookie可能被盜用的問題,減少跨站指令...

Linux Bash安全漏洞修復

1.影響的系統包括 centos debian redhat ubuntu 2.檢查系統是否要修復 root mysql env x echo vulnerable bash c echo this is a test vulnerable this is a test root mysql 如果輸...