常見web安全漏洞及整改建議-資料下載頁
2025-06-27 15:03本頁面
【正文】 ace(\r\n,$post)。 //去掉回車換行符號(hào) 5 $post =ereg_replace(\r,$post)。 //去掉回車 6 $post =ereg_replace(\n,$post)。 //去掉換行 7 $post =ereg_replace( ,$post)。 //去掉空格 8 $post= ereg_replace(39。,$post)。 //去掉單引號(hào)29. CRLF注入/ HTTP響應(yīng)拆分 同上：Http請(qǐng)求頭的額外的回車換行符注入。30. MBean提交密碼字段中使用GET方法 問題描述 使用GET方法MBean提交密碼字段。 整改建議 更改為POST提交方法。31. JBoss類漏洞 問題描述 發(fā)現(xiàn)JBoss框架登錄管理后臺(tái)等信息。 整改建議 限制JBOSS控制臺(tái)等目錄訪問權(quán)限。32. Apache Tomcat版本低 問題描述 Apache Tomcat版本過低 整改建議 升級(jí)ApacheTomcat到最新版本。33. Apache Tomcat類漏洞 問題描述 發(fā)現(xiàn)存在ApacheTomcat的示例文件、控制臺(tái)等信息。 整改建議 刪除ApacheTomcat的示例文件及控制臺(tái)相關(guān)文件。34. 臨時(shí)應(yīng)急加固方法35. 非公眾訪問類 問題描述 發(fā)現(xiàn)系統(tǒng)、數(shù)據(jù)庫類等漏洞沒法加固或暫時(shí)無法加固。 整改建議 關(guān)閉不必要的應(yīng)用或使用系統(tǒng)防火墻限制非公眾使用的端口進(jìn)行來源綁定訪問。36. WEB類 問題描述 發(fā)現(xiàn)XSS、SQL等漏洞的應(yīng)急加固辦法。 整改建議 apache monslang工具包里的類，可以在工程中寫一個(gè)過濾器，使用該工具類去實(shí)現(xiàn)敏感字符的過濾。 過濾器示例1參考地址： 過濾器示例2如下： 使用JAVA過濾器對(duì)攻擊特征進(jìn)行過濾如： 一。寫一個(gè)過濾器 代碼如下： package 。 import 。 import 。 import 。 import 。 import 。 import 。 import 。 import 。 。 。 public class IllegalCharacterFilterimplements Filter { private String[] characterParams =null。 private boolean K=true。 public void destroy() { // TODO Autogenerated method stub } /** * 此程序塊主要用來解決參數(shù)帶非法字符等過濾功能 */ public void doFilter(ServletRequest request,ServletResponse response, FilterChain arg2) throwsIOException, ServletException { HttpServletRequest servletrequest =(HttpServletRequest) request。 HttpServletResponse servletresponse= (HttpServletResponse) response。 boolean status = false。 params =()。 String param=。 String paramValue =。 (text/html)。 (utf8)。 while(()) { param = (String)()。 String[] values =(param)。 paramValue = 。 if(OK){//過濾字符串為0個(gè)時(shí)不對(duì)字符過濾 for (int i = 0。 i。 i++)= p= paramValue=paramValue+values[i]。 for(inti=0。i。i++) p= if((characterParams[i]) = 0) { status = true。 break。 } if(status)break。 } } // (param+=+paramValue+。)。 if (status) { PrintWriter ut =()。 out .print(alert(\對(duì)不起！您輸入內(nèi)容含有非法字符。如：\\\39。\\\.等\)。 // +() +(1)。)。 }else (request,response)。 } public void init(FilterConfig config)throws ServletException { if((characterParams).length()1) K=false。 else = (characterParams).split(,)。 } } 二。： IllegalCharacterFilter characterParams 39。,@ IllegalCharacterFilter /* 重啟你的服務(wù)器就OK了。 這樣，增加此過濾器后能提高網(wǎng)站的安全，防止SQL注入，防止跨站腳本XSS等。
外語相關(guān)推薦
鄂ICP備17016276號(hào)-1