keyword：web滲透檢測，安全檢測，AppScan

web滲透檢測   滲透的本質是漏洞。web滲透檢測也即web漏洞檢測。

AppScan安全掃描報告

如下是問題型別為“已解密的登陸請求”中提到的問題-詳情

改造方案：

服務端新增獲取加密祕鑰的介面：/getLoginSignKey。

前端在呼叫登陸介面時，先呼叫 /getLoginSignKey 介面，獲取加密key，對使用者登陸密碼進行加密。然後，呼叫登陸介面時，上送加密後的使用者密碼引數。

服務端登陸介面在獲取到登陸請求引數時，先對密碼做解密，再執行原有驗證邏輯。

改造程式碼：

/getLoginSignKey 介面

    private static final String LOGIN_SIGN_KEY_CACHE = "loginSignKeyCache:";

    // 獲取登入簽名key
    @RequestMapping(value = "/getLoginSignKey", method = RequestMethod.POST)
    public Result<String> getLoginSignKey(@RequestBody SysLoginModel sysLoginModel) throws Exception {
        String cacheKey 
 
= LOGIN_SIGN_KEY_CACHE + sysLoginModel.getUsername();

        Object signCache = redisUtil.get(cacheKey);

        if (ObjectUtil.isNotNull(signCache)) {
            return Result.successWithMsg(signCache.toString());
        }

        KeyPairGenerator keyPairGen = KeyPairGenerator.getInstance("RSA");
        
 
// 初始化金鑰對生成器，金鑰大小為96-1024位
        keyPairGen.initialize(1024, new SecureRandom());
        // 生成一個金鑰對，儲存在keyPair中
        KeyPair keyPair = keyPairGen.generateKeyPair();
        // 得到公鑰字串
        String publicKeyString = com.emax.zhenghe.common.util.Base64.encode(keyPair.getPublic().getEncoded());
        // 得到私鑰字串
        String privateKeyString = Base64.encode(keyPair.getPrivate().getEncoded());

        redisUtil.set(cacheKey, privateKeyString, 7 * 24 * 60 * 60); //7天有效

        return Result.successWithMsg(publicKeyString);
    }

登陸介面改造

    // 登入介面
    @RequestMapping(value = "/login", method = RequestMethod.POST)
    public Result<JSONObject> login(@RequestBody SysLoginModel sysLoginModel) {
        Result<JSONObject> result = new Result<JSONObject>();
        String username = sysLoginModel.getUsername();
        String password = "";
        log.info("使用者登陸--系統登入--/sys/login--username={}", username);

        // 設定登入次數限制
        Result loginLimitResult = loginLimitValidate(sysLoginModel.getUsername());
        if (!loginLimitResult.isSuccess()) return loginLimitResult;

        //密碼加密驗籤：
        String signCacheKey = LOGIN_SIGN_KEY_CACHE + sysLoginModel.getUsername();
        Object signPrivateKeyCache = redisUtil.get(signCacheKey);

        if (ObjectUtil.isNull(signPrivateKeyCache)) {
            result.error500("非法請求！");
            return result;
        }

        try {
            password = new String(RSAUtils.decryptByPrivateKey(Base64.decode(sysLoginModel.getPassword()), signPrivateKeyCache.toString()));
        } catch (Exception e) {
            log.info("login--username={},解密失敗", sysLoginModel.getUsername());
            result.error500("非法請求！");
            return result;
        }
        
        ..... 原有登陸邏輯
    }

 前端頁面請求的網路呼叫：

根據登陸使用者去拿key

呼叫登陸介面，密碼是加密後的密文