v512345的博客_开发中漏洞总结6

clickjacking:X-frame-options header missing 漏洞解决办法

Apache配置X-Frame-Options ,httpd.conf 添加Header always append X-Frame-Options SAMEORIGIN2.在项目里添加过滤器；/** * Software published by the Open Web Application Security Project (http://www.owa

clickjacking:X-frame

原创 2015-11-30 17:57:13 9492 阅读 1点赞 1评论

Apache TraceEnable关闭与测试方法

系统环境：OS: RHEL5.6_x64Apache: httpd-2.2.11关闭方法：在主配置文件httpd.conf中添加配置：TraceEnable off可以直接配置在ServerRoot参数下面。测试方法：通过telnet到HTTP的某个服务端口，进行测试，如下描述(红色为你要输入的部分)。关闭前测试会返回200 OK：[root@web001 ~]$ telnet xxx

Apache TraceEnable关

转载精选 2015-11-10 13:09:46 3183 阅读 1点赞 1评论

最近WEB安全扫描问题汇总（网上找的，觉的挺详细的）

严重问题：1、Tomcat版本过低Tomcat5~8各个版本尽量使用最新的版本，新版已经修复了已经发现的漏洞。2、SQL盲注对于用户输入的参数进行过滤。3、jQuery跨站脚本升级jQuery，更换为最新版的jQuery4、Struts2开发模式使用Spring MVC等其他框架，或升级Struts2最新版本5、易受攻击的JavaScript库更换使用的JS库、或者修改相关的JS。一

最近WEB安全扫描问题汇总（网上找的

觉的挺详细的）

转载精选 2015-11-10 10:01:51 10000+阅读 1点赞

AppScan 扫出隐藏文件，隐藏文件可能是项目目录下面的脚本，liunx命令

在项目目录里面查看有哪些隐藏文件，ls -a查看哪些隐藏文件是liunx命令，或者是一些敏感信息；让隐藏文件显示，然后删除掉；

AppScan 扫出隐藏文件

隐藏文件可能是项目目录下面的脚本

liunx命令

原创 2015-11-10 09:58:44 3359 阅读

session-cookie without secure flag set解决方案

扫出一个session-cookie without secure flag set这个漏洞，在web.xml里加 <cookie-config> <http-only>true</http-only> <secure>true</secure>

session-cookie witho

转载精选 2015-11-10 09:54:56 2984 阅读 1点赞 1评论

彻底隐藏Nginx版本号的安全性与方法

Nginx默认是显示版本号的，如：[root@bkjz ~]# curl -I www.nginx.orgHTTP/1.1 200 OKServer: nginx/0.8.44Date: Tue, 13 Jul 2010 14:05:11 GMTContent-Type: text/htmlContent-Length: 8284Last-Modified: Tue, 13 Jul 2010 12

彻底隐藏Nginx版本号的安全性与方法

转载精选 2015-11-10 09:51:55 274 阅读

（总结）隐藏Apache版本号的必要性与方法

一般情况下，软件的漏洞信息和特定版本是相关的，因此，软件的版本号对攻击者来说是很有价值的。在默认情况下，系统会把Apache版本模块都显示出来（http返回头信息）。如果列举目录的话，会显示域名信息（文件列表正文），如：[root@localhost tmp]# curl -I 192.168.80.128:88HTTP/1.1 403 ForbiddenDate: Wed, 21 Jul 201

（总结）隐藏Apache版本号的必要性与

转载精选 2015-11-10 09:48:48 447 阅读

跨站点请求伪造漏洞

解决办法：写一个filter进行拦截package frameWork.common.core.filter;import java.io.IOException;import java.util.ArrayList;import java.util.List;import javax.servlet.Filter;import javax.servlet.FilterChain;import j

跨站点请求

原创 2015-03-23 23:49:08 599 阅读 1点赞 2评论

跨站脚本编制漏洞

我在jsp页面传人一个参数到后台，便于后台代码标记，根据这个标记进行执行不同的方法，然后把这个标记返回到页面；这个标记就要进行验证，放在被攻击；如：解决办法：jsp:if(status == 0){ //待支付 $("#tab_0").load("/detailsOfFunds.do?details&ty

脚本

跨站

编制漏洞

原创 2015-03-23 23:45:07 640 阅读

js 脚本攻击

[window["location"]="\x6a\x61\x76\x61\x73\x63\x72\x69\x70\x74\x3a\x61\x6c\x65\x72\x74\x28266\x29"]+""

js

原创 2015-03-20 14:24:31 875 阅读

在apache禁止 http OPTIONS方法. apache disable http OPTIONS method

<Location /> <Limit OPTIONS> Deny from all </Limit> </Location&

在apache禁止 http OPTIO

转载精选 2014-12-19 17:25:44 3851 阅读 2点赞 3评论

防御CSRF、XSS和SQL注入攻击

过滤器package cn.bizws.ismp.common.web;/** * @author www.bizws.cn Tom */import java.io.File;import java.io.IOException;import java.text.DateFormat;import java.text.SimpleDateFormat;import java.

SQL

注入攻击

XSS

防御

CSRF

原创 2014-09-09 15:34:49 551 阅读

官方博客	全部文章	热门标签	班级博客
了解我们	网站地图	意见反馈

鸿蒙开发者社区	51CTO学堂
51CTO	软考资讯

51CTO博客

銆傘€

clickjacking:X-frame-options header missing 漏洞解决办法

Apache TraceEnable关闭与测试方法

最近WEB安全扫描问题汇总（网上找的，觉的挺详细的）

AppScan 扫出隐藏文件，隐藏文件可能是项目目录下面的脚本，liunx命令

session-cookie without secure flag set解决方案

彻底隐藏Nginx版本号的安全性与方法

（总结）隐藏Apache版本号的必要性与方法

跨站点请求伪造漏洞

跨站脚本编制漏洞

js 脚本攻击

在apache禁止 http OPTIONS方法. apache disable http OPTIONS method

防御CSRF、XSS和SQL注入攻击