网安处理项目的常见漏洞bug(java相关)
[福利:\[ 网络安全重磅福利:入门&进阶全套282G学习资源包免费分享 !\]](https://mp.weixin.qq.com/s/BWb9OzaB-gVGVpkm161PMw )
1.写在前面
很多时候,一些项目,或许都会有一定的系统安全要求。一般常见于政府项目比较多!!!
项目做完后,都需要做一些安全的扫描:包括以下方面:
1.服务器安全漏洞问题扫描
2.项目安全漏洞问题扫描
3.中间件安全漏洞扫描(例如:mysql、oracle、redis、nacos等)
那我们今天就来讲讲第2点,项目安全漏洞的场景问题!!!
来,上干货!!!
2.项目安全常见漏洞
2.1Cross-origin resource sharing: arbitrary origin trusted漏洞修复
这个问题,就是经常遇到的CORS跨域问题,所导致。
对于springboot项目来说,都会加上下面的代码,解决前后端分离存在的CORS跨域问题
因为我们设置了Access-Control-Allow-Origin为*,表示允许所有的请求。导致了这个漏洞。
一般来说,我们会加个过滤器,对Origin、Referer、Host等进行限制。
那这里,我们贴以下gateway网关,filter的方法:
-
public class CsrfRequestGlobalFilter implements GlobalFilter, Ordered {@Autowiredprivate SecurityProperties securityProperties;/** * @param exchange * @param chain * @return * * get请求参考spring cloud gateway自带过滤器: * @see org.springframework.cloud.gateway.filter.factory.AddRequestParameterGatewayFilterFactory * * post请求参考spring cloud gateway自带过滤器: * @see org.springframework.cloud.gateway.filter.factory.rewrite.ModifyRequestBodyGatewayFilterFactory */@SneakyThrows@Overridepublic Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) {ServerHttpRequest serverHttpRequest = exchange.getRequest();log.debug("----自定义防CSRF攻击网关全局过滤器生效----");// swagger文档不进行跨站点请求伪造拦截String path = serverHttpRequest.getPath().value();if(path.endsWith("api-docs")){return chain.filter(exchange);}HttpHeaders headers = serverHttpRequest.getHeaders();List<String> hosts = headers.get("host");if(<img src="http://192.168.4.68.vnl”hosts = hosts.stream().map(item->item "/").collect(Collectors.toList());}List<String> referers = headers.get("Referer");List<String> origin = headers.get("Origin");if(!CollectionUtils.isEmpty(origin)){// origin没有斜杆,要加上斜杆,避免这种csrf漏洞“Origin或referer=http://192.168.4.68.vnl”origin = origin.stream().map(item->item "/").collect(Collectors.toList());}//判断是否没有hosts、refersif ((hosts == null || hosts.size() == 0) || (referers == null || referers.size() == 0)) {this.removeHeadOnCsrf(exchange);throw new IllegalStateException("跨站点请求伪造:Header获取host或refers为空");}//判断请求host是否在白名单if (hosts != null && hosts.size() > 0) {hosts.stream().forEach(host -> {boolean isIgnore = securityProperties.getIgnore().containsCsrfHosts(host);if (!isIgnore) {this.removeHeadOnCsrf(exchange);throw new IllegalStateException("跨站点请求伪造:攻击地址为 " host);}});}//判断来源referers是否在白名单if (referers != null && referers.size() > 0) {referers.stream().forEach(referer -> {boolean isIgnore = securityProperties.getIgnore().containsCsrfHosts(referer);if (!isIgnore) {this.removeHeadOnCsrf(exchange);throw new IllegalStateException("跨站点请求伪造:攻击地址为 " referer);}});}//判断请求origin是否在白名单if (origin != null && origin.size() > 0) {origin.stream().forEach(host -> {boolean isIgnore = securityProperties.getIgnore().containsCsrfHosts(host);if (!isIgnore) {this.removeHeadOnCsrf(exchange);throw new IllegalStateException("跨站点请求伪造:攻击地址为 " host);}});}return chain.filter(exchange);}@Overridepublic int getOrder() {return -88;}private void removeHeadOnCsrf(ServerWebExchange exchange){exchange.getResponse().getHeaders().remove("Access-Control-Allow-Origin");exchange.getResponse().getHeaders().remove("Access-Control-Allow-Credentials");" style="margin: auto" />
-
-
}
这里有个经典的地方,就是remove("Access-Control-Allow-Origin")
为什么要这么干呢?
因为我们过滤器判断了Origin、Referer、Host,进行了拦截,但是response的header还是会带上Access-Control-Allow-Origin这些header信息,那扫描工具,还是会认为这是个漏洞
所以我们将这个Access-Control-Allow-Origin的header信息,也不返回给你,那扫描工具,就不再报高危了!!!
牛牛牛!!!这都被你想到了
2.2SQL injection
这个就是常见的sql注入问题。
那很多时候,我们使用mybatis的时候,就有帮我们处理sql注入的问题。
但是,这个异常信息,我们不应该返回给前端,否则,漏洞扫描工具,就会认为这是个高危的问题。
那我们一般的做法,是定义一个全局异常处理器
-
@RestControllerAdvice
-
@Slf4j
-
public class ExceptionHandlerAdvice@ExceptionHandler(Throwable.class)public JsonResult handleError(Throwable exception) {JsonResult result= JsonResult.Fail("系统执行出错!");result.setShow(showErr);SysConfig sysConfig= SpringUtil.getBean(SysConfig.class);String errorShow="true";try{ errorShow=sysConfig.getVal("errorShow");}catch (Exception e){}//定义个开关,动态设置是否要返回异常信息if(MBoolean.TRUE_LOWER.val.equals(errorShow)) { result.setData(errorMessage);}else{ result.setData("系统执行出错了,错误日志已记录!");} return result;}
-
}
这里,我们有个开关,就是可以动态设置是否要返回异常信息
因为在开发环境中,我们开发人员,还是需要看到报错的异常信息,这样方便我们定位问题
在生产环境中,就可以关闭,不返回异常信息给前端。
3.3Unix文件参数变更
这个错,是vue项目,漏洞扫描,发现Unix 文件参数变更
一开始看到这个漏洞,我们都不知道从何下手!!!
那百度看看喽!!!
嘿,还真有人遇到这个问题。
哈哈,直接和测试人员说一下,不存在安全问题,就完事了!!!
个人理解,可能也不够全面,班门弄斧了。
好了,今天就先到这里了!!!^_^
如果觉得有收获的,帮忙点赞、评论、收藏一下呗!!!
这篇好文章是转载于:学新通技术网
- 版权申明: 本站部分内容来自互联网,仅供学习及演示用,请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系,请提供相关证据及您的身份证明,我们将在收到邮件后48小时内删除。
- 本站站名: 学新通技术网
- 本文地址: /boutique/detail/tanhgbfjfb
系列文章
更多
同类精品
更多
-
photoshop保存的图片太大微信发不了怎么办
PHP中文网 06-15 -
Android 11 保存文件到外部存储,并分享文件
Luke 10-12 -
word里面弄一个表格后上面的标题会跑到下面怎么办
PHP中文网 06-20 -
《学习通》视频自动暂停处理方法
HelloWorld317 07-05 -
photoshop扩展功能面板显示灰色怎么办
PHP中文网 06-14 -
微信公众号没有声音提示怎么办
PHP中文网 03-31 -
excel下划线不显示怎么办
PHP中文网 06-23 -
怎样阻止微信小程序自动打开
PHP中文网 06-13 -
excel打印预览压线压字怎么办
PHP中文网 06-22 -
TikTok加速器哪个好免费的TK加速器推荐
TK小达人 10-01