2. 程式人生 > >一些安全防護辦法

一些安全防護辦法

阿新 • • 發佈：2018-11-12

Created 星期三 08 三月 2017

Apache JServ protocol service

描述：

AJP（Apache Jserv Protocol）的connector：AJP為二進位制協議，專用於tomcat與apache建立通訊的， 在httpd反向代理使用者請求至tomcat時使用。

風險等級：

中。

解決辦法：

  • 防火牆上關閉tomcat使用的ajp埠8009。
  • 或修改tomcat的 server.xml，註釋掉ajp connector：

cookie缺少 secure flag

描述：

當設定為true時，表示建立的 Cookie 會被以安全的形式向伺服器傳輸，也就是隻能在 HTTPS 連線中被瀏覽器傳遞到伺服器端進行會話驗證，如果是 HTTP 連線則不會傳遞該資訊，所以不會被竊取到Cookie 的具體內容。

解決辦法：

(需要配套https使用)。
不同情況不同處理。
對於servlet3.0的web應用，在web.xml中新增：

<session-config>
       <cookie-config>
           <secure>true<secure>
        </cookie-config>
</session-config>

或新增過濾器，過濾器中設定cookie.setSecure(true);

參考文件

http://blog.csdn.net/a19881029/article/details/27536917

描述：

Web 應用程式設定了不含“HttpOnly”屬性的會話 cookie。由於此會話 cookie 不包含“HttpOnly”屬性，因此注入站點的惡意指令碼可能訪問此 cookie，並竊取它的值。任何儲存在會話令牌中的資訊都可能被竊取，並在稍後用於身份盜竊或使用者偽裝
如果在Cookie中設定了"HttpOnly"屬性，那麼通過程式(JS指令碼、Applet等)將無法讀取到Cookie資訊，這樣能有效的防止XSS攻擊

解決辦法：

PHP中的設定

PHP5.2以上版本已支援HttpOnly引數的設定，同樣也支援全域性的HttpOnly的設定，在php.ini中
session.cookie_httponly = 1
設定其值為1或者TRUE，來開啟全域性的Cookie的HttpOnly屬性
當然也支援在程式碼中來開啟：
<?php ini_set("session.cookie_httponly", 1);
// or session_set_cookie_params(0, NULL, NULL, NULL, TRUE);
?>

java web應用

對於servlet3.0的web應用，在web.xml中新增：

<cookie-config>
    <http-only>true</http-only>
</cookie-config>

參考文件：

  • http://blog.csdn.net/ssergsw/article/details/9137785?utm_source=tuicool
  • http://blog.sina.com.cn/s/blog_4dd475390102eu7p.html

http明文傳輸

描述：

使用http傳輸，可以被攻擊者可通過內網嗅探的方式獲取系統資訊，包括使用者名稱、cookie等。

風險等級：

中。

解決辦法：

使用https協議，步驟略。

登陸頁面缺少動態驗證碼

描述：

使用者登入只有賬戶+密碼的認證方式，缺少動態驗證碼機制，容易被暴力破解。

解決辦法：

新增驗證碼登陸機制，步驟略。

伺服器啟用了不安全的http方法

描述：

伺服器允許: GET, HEAD, POST, PUT, DELETE, TRACE, OPTIONS

風險等級：

中。

解決辦法：

建議關閉無用HTTP方法，僅開放允許GET/POST方法。
方法一：
修改所有web應用的web.xml,新增：
<security-constraint> <web-resource-collection> <web-resource-name>Forbidden</web-resource-name> <url-pattern>/*</url-pattern> <http-method>PUT</http-method> <http-method>DELETE</http-method> <http-method>HEAD</http-method> <http-method>OPTIONS</http-method> <http-method>TRACE</http-method> </web-resource-collection> <auth-constraint/> </security-constraint>
方法2：
在nginx裡新增限制：

limit_except GET POST {  
    deny  all;  
    }

http方法說明：
PUT 向指定的目錄上載檔案
DELETE 刪除指定的資源
COPY 將指定的資源複製到Destination訊息頭指定的位置
MOVE 將指定的資源移動到Destination訊息頭指定的位置
SEARCH 在一個目錄路徑中搜索資源
PROPFIND 獲取與指定資源有關的資訊，如作者、大小與內容型別
TRACE 在響應中返回伺服器收到的原始請求
------------------------------------------------------

登陸頁面設定失敗次數限制

描述：

多次登陸失敗後，限制禁止使用者登陸。

解決辦法：

略。

Clickjacking: X-Frame-Options header missing

描述：

點選劫持（ClickJacking）是一種視覺上的欺騙手段。攻擊者使用一個透明的、不可見的iframe，覆蓋在一個網頁上，然後誘使使用者在該網頁上進行操作，此時使用者將在不知情的情況下點選透明的iframe頁面。通過調整iframe頁面的位置，可以誘使使用者恰好點選在iframe頁面的一些功能性按鈕上。HTTP 響應頭資訊中的X-Frame-Options，可以指示瀏覽器是否應該載入一個 iframe 中的頁面。如果伺服器響應頭資訊中沒有X-Frame-Options，則該網站存在ClickJacking攻擊風險。網站可以通過設定 X-Frame-Options 阻止站點內的頁面被其他頁面嵌入從而防止點選劫持。

解決辦法：

修改web伺服器配置，新增X-Frame-Options響應頭。
賦值有如下三種：1、DENY：不能被嵌入到任何iframe或者frame中。
2、SAMEORIGIN:頁面只能被本站頁面嵌入到iframe或者frame中。
3、ALLOW-FROM uri：只能被嵌入到指定域名的框架中。

具體操作：

tomcat配置：

修改conf/web.xml新增下面的過濾器：

<filter>
    <filter-name>HTTP Header Security Filter</filter-name>
    <filter-class> org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
    <init-param>
        <param-name>antiClickJackingOption</param-name>
        <param-value> DENY或SAMEORIGIN或ALLOW-FROM</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>HTTP Header Security Filter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

程式碼實現：

res.addHeader("X-FRAME-OPTIONS",mode );

nginx配置：

配置 nginx 傳送 X-Frame-Options 響應頭，把下面這行新增到 'http', 'server' 或者 'location' 的配置中:
add_header X-Frame-Options SAMEORIGIN;

Apache配置：

配置 Apache 在所有頁面上傳送 X-Frame-Options 響應頭，需要把下面這行新增到 'site' 的配置中:
Header always append X-Frame-Options SAMEORIGIN

測試方法

參考文件

X-Frame-Options 響應頭
https://tomcat.apache.org/tomcat-8.0-doc/config/filter.html

X-Content-Type-Options

風險等級

低

解決辦法

修改tomcat 的conf/web.xml新增下面的過濾器：

<filter>
    <filter-name>HTTP Header Security Filter</filter-name>
    <filter-class> org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>HTTP Header Security Filter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>

對於nginx
add_header X-Content-Type-Options nosniff; # 禁止嗅探檔案型別

參考文件

https://tomcat.apache.org/tomcat-8.0-doc/config/filter.html
https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Content-Type-Options

X-XSS-Protection

風險等級

低

描述

HTTP X-XSS-Protection 響應頭是Internet Explorer，Chrome和Safari的一個功能，當檢測到反映的跨站點指令碼 (XSS)時，停止頁面載入。

解決辦法

修改conf/web.xml新增下面的過濾器：

<filter>
    <filter-name>HTTP Header Security Filter</filter-name>
    <filter-class> org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>HTTP Header Security Filter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>

對於nginx
add_header X-XSS-Protection "1; mode=block"; # XSS 保護

參考文件

https://tomcat.apache.org/tomcat-8.0-doc/config/filter.html
https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Headers/X-XSS-Protection

httpSlow HTTP DoS漏洞

描述：

針對任意HTTP Server，建立一個連線，以很低的速度發包，並保持住這個連線不斷開。如果客戶端持續建立這樣的連線，那麼伺服器上可用的連線池將很快被佔滿，從而導致拒絕服務攻擊。

風險等級：

高。

解決辦法：

https://community.qualys.com/blogs/securitylabs/2011/11/02/how-to-protect-against-slow-http-attacks

BREACH attack

描述

風險等級：

中

解決辦法：

  1. Disabling HTTP compression（禁止http壓縮）
  2. Separating secrets from user input
  3. Randomizing secrets per request
  4. Masking secrets (effectively randomizing by XORing with a random secret per request)
  5. Protecting vulnerable pages with CSRF
  6. Length hiding (by adding random number of bytes to the responses)
  7. Rate-limiting the requests（限制請求速率）

例如：nginx 關閉gzip壓縮。

參考文件：

http://breachattack.com/

Password type input with auto-complete enabled

風險等級：

低

解決辦法：

<form>
<input type="text" name="username" autocomplete="off">
<input type="password" autocomplete="new-password" onfocus="if (this.hasAttribute('readonly')) {this.removeAttribute('readonly');}" readonly >
</form>

參考文件：

https://stackoverflow.com/questions/32369/disable-browser-save-password-functionality

Content Security Policy

風險等級：
低
解決辦法
（1）
兩種方法可以啟用 CSP。一種是通過 HTTP 頭資訊的Content-Security-Policy的欄位。

Content-Security-Policy: script-src 'self'; object-src 'none';
style-src cdn.example.org third-party.org; child-src https:
自定義filter
public class MyFilter implements Filter {
@Override
public void doFilter(ServletRequest request, ServletResponse response,
FilterChain chain) throws IOException, ServletException {

    HttpServletResponse httpResponse = (HttpServletResponse) response;
    httpResponse.setHeader("Content-Security-Policy", "frame-ancestors 'self'");

    chain.doFilter(request, response);
}

}

另一種是通過網頁的標籤。

上面程式碼中，CSP 做了如下配置。

  • 指令碼：只信任當前域名
  • 樣式表：只信任cdn.example.org和third-party.org
  • 框架（frame）：必須使用HTTPS協議載入
  • 其他資源：沒有限制

參考文件
http://www.ruanyifeng.com/blog/2016/09/csp.html
http://www.jackieathome.net/archives/317.html

相關推薦

一些安全防護辦法

Created 星期三 08 三月 2017 Apache JServ protocol service 描述： AJP（Apache Jserv Protocol）的connector：AJP為二進位制協議，專用於tomcat與apache建立通訊的， 在httpd反向代理使用者請求至tomcat時使

服務器安全防護

font ack 安全防護 tom form play 攻擊 html_ vertical 服務器安全防護安全 鑒於近期經常有人對服務器進行攻擊，對服務器和數據庫做如下升級。。 因為涉及到一些服務，所以服務器分部升級 第一步升級服務器的密碼 更換數據庫的用戶名和密

android黑科技系列——Android中新型安全防護策略

應該 nat term 反編譯 packages 名稱 文章 訪問 多說 一、前言 最近有一個同學，發給我一個設備流量訪問檢測工具，但是奇怪的是，他從GP上下載下來之後安裝就沒有數據了，而在GP上直接安裝就可以。二次打包也會有問題。所以這裏就可以判斷這個app應該是有簽名

security 02： 加密與解密 、 掃描與抓包 、 總結和答疑 、 SELinux安全防護

一段 數字簽名 def 接口 數據流 5.1 調用 message systemctl day01一、selinux安全防護二、數據 加密 解密三、抓包與掃描++++++++++++++++++++++++++++++一、selinux安全防護1.1 selinux 介紹1

Day07 系統安全防護&防火墻(Enginner01)

linux系統安全 disabled 阻塞 led hsrp tp服務器 嚴格 選項 bashrc 一、SELinux 1.1 概述 Security-Enhanced Linux由美國NSA主導開發，一套增強Linux系統安全的強制訪問控制體系集成到Linux內核(2.6

700名黑客無法攻破Trillium安全防護軟件 欲以網絡安全險獲利

blog 事故 sha 大數據 class 車載 dff new 開發 蓋世汽車訊 據外媒報道，在2017 DEF CON黑客大會上，黑客們受邀入侵Car Hacking Village會場內的各類自動駕駛車輛。物聯網網絡安全公司——Trillium Incorporat

Web應用防火墻-網站安全防護

覆蓋 應用交付 self https 解決 信號 sim 包含 ont Web應用防火墻簡稱WAF。Web應用防火墻是集WEB防護、網頁保護、負載均衡、應用交付於一體的WEB整體安全防護設備的一款產品。它具有異常檢測協議 、增強輸入驗證、及時補丁等優勢功能。我使用過 Imp

關於Android應用開發的一些安全註意事項

gui IT tracking output 技術 偽造 ger 每一個 idm 原文地址: http://www.javacodegeeks.com/2014/05

如何破解金融安全防護難題？

網絡安全 金融創新 雲計算、大數據、人工智能、區塊鏈正影響著社會的各個角落，金融行業也是如此——這些技術正逐漸滲透到金融交易的前中後臺，助力金融創新。新技術的普及，帶來了想象空間的同時，其硬幣的另一面也露出猙獰的面孔——信息安全事件呈現高速增長的趨勢，安全事件要麽不發生，一發生就損失慘重。研究顯示，平

Web建站安全防護建議

服務器安全最近自己建了個網站，網站安全搞了一陣，閑來沒事就寫寫總結，方便以後查看。 建議 服務器上能少開的端口就少開 服務器最好禁ping 服務器最好使用秘鑰登錄，禁止root賬號登錄 應用程序千萬不要使用root啟動！！mysql、nginx、java程序這些最好用其他用戶啟動。還有，運行的用戶不允許對源

關於基於單片機的雙DDSAD9956的一些問題解決辦法

8bit control reg 強制類型轉換 gis register 轉換 In ftw 1.關於簡化頻率控制字的寫入； uint8_t Freq=30; uint64_t FTW=((281474976710656)/200)*Freq; 由上可計算

Istio技術與實踐6：Istio如何為服務提供安全防護能力

軟件 基於 名稱 理解 認證 efault fault 訪問控制 text 凡是產生連接關系，就必定帶來安全問題，人類社會如此，服務網格世界，亦是如此。今天，我們就來談談Istio第二主打功能---保護服務。那麽，便引出3個問題：? Istio憑什麽保護服務？? I

如何實現360度的手遊安全防護？網易雲易盾專家分享最新實踐

影響 包括 unity3 挑戰 ffffff 遊戲存檔 ef7 流行 明顯 自2016年以來，手遊行業迎來全面爆發。大量資本、創業者的入局，讓整個手遊市場越發熱鬧，手遊紅利的挖掘也越發深入，各種遊戲層出不窮。但是隨之而來的各種安全問題也越來越多，不僅對手遊的使用體驗和口碑產

9月第3周業務風控關註|央行：將進一步探索構建行業共享的金融網絡安全防護平臺

防護 缺陷 cto process 單位 個人 情況 依然 hat 易盾業務風控周報每周呈報值得關註的安全技術和事件，包括但不限於內容安全、移動安全、業務安全和網絡安全，幫助企業提高警惕，規避這些似小實大、影響業務健康發展的安全風險。 1.央行：將進一步探索構建行業共享的金

Juniper SSG 防火墻安全防護之拒絕服務×××[新任幫主]

死機 led scree 相對 不存在 解讀 cli for 消息 Juniper SSG 防火墻安全防護之拒絕服務×××一.拒絕服務×××的介紹： 所謂的拒絕服務就是指所有一切以耗盡網絡資源，使其無法再網絡中發揮正常的功能為目的的行為都叫拒絕服務×××，DoS×××是一種

Drupal 網站漏洞修復以及網站安全防護加固方法

對比 ssl加密 服務器組件 非root web 超過 進行 情況下 settings drupal是目前網站系統使用較多一個開源PHP管理系統，架構使用的是php環境+mysql數據庫的環境配置，drupal的代碼開發較為嚴謹，安全性較高，但是再安全的網站系統，也會出現網

MetInfo最新網站漏洞如何修復以及網站安全防護

技術 51cto 密碼 for col 詳情 image 導致 腳本語言 metinfo漏洞於2018年10月20號被爆出存在sql註入漏洞，可以直接拿到網站管理員的權限，網站漏洞影響範圍較廣，包括目前最新的metinfo版本都會受到該漏洞的***，該metinfo漏洞產生

安全防護分五階段，主動安全是演進方向

隨著網際網路的高速發展和應用普及，網路安全形勢也日益嚴峻，資料洩露事件頻發，甚至直接導致業務的停頓。根據Cybersecurity Ventures的資料，到2021年因網路犯罪導致的損失將高達6萬億美元，幾乎達到世界經濟的10%。  傳統安全防護模式面臨挑戰 網路安全威脅日益嚴重

雲安全Clouder課程：網路層安全防護

本認證課程旨在幫助學員瞭解雲端計算網路層常用到的網路防護實踐方法，以及掌握防火牆、入侵檢測、Web應用防火牆、抗DDoS等防護手段的功能和基本原理。能夠使用作業系統自帶的防火牆（Windows主機防護牆、Linux IPtables）來進行安全策略的配置。最終能為自己企業建立基本的網路層防護。

安全防護

凡是資料儲存都會用到快取頁面靜態化首先訪問快取檔案資料庫備份行話：真假資料庫 mysql log 資料庫日誌 本身為二進位制檔案 mysql log start 開啟後，才能用 通過命令或工具轉為sql檔案，（檔案格式轉換）當資料庫儲存太大，再次建立一個數據庫框架資料庫是可以一對多專案模組化拆分（比如，像co