AppScan漏洞扫描之修复方法

dove19900520

浏览: 593083 次
性别:
来自: 北京

最近访客更多访客>>

xieaiguo

zhf1206

loginboot

tianxin_008883

博主相关

博客

微博

相册

留言

关于我

文章分类

社区版块

存档分类

博客分类：

HTML

SRI Content-Security-Policy X-Content-Type-Options X-XSS-Protection IP 泄露

一、问题类型

1、SRI (Subresource Integrity) 的检查

2、检测到隐藏目录

3、缺少“Content-Security-Policy”头

4、缺少“X-Content-Type-Options”头

5、缺少“X-XSS-Protection”头

6、发现内部 IP 泄露模式

7、发现可能的服务器路径泄露模式

8、发现电子邮件地址模式

9、客户端(JavaScript)Cookie 引用

10、未分类站点的链接

二、问题原因及解决方案

1、SRI (Subresource Integrity) 的检查

1）问题URL：http://127.0.0.1:9091/

2）问题原因：该地址对应的最终页面是index.html页面，该页面中含有从第三方中引入的js或css文件，格式形如：<script src="http://cdn.explame.com/plugins/bootstrap/js/bootstrap.min.js"></script>；但是从本地项目中引入的js或CSS文件则不会存在这个漏洞。

3）解决方案：有两种方案。方案一：将需要引入的js或css或者其他文件，都跟项目放在一块，本地引用的形式进行文件引用即可，例如：<script src="./plugins/bootstrap/js/bootstrap.min.js"></script>；方案二：请参考网上的帖子https://blog.csdn.net/mevicky/article/details/94618051。

2、检测到隐藏目录

1）问题URL：http://192.168.95.64:9091/js/ 或 http://192.168.95.64:9091/css/ 或 http://192.168.95.64:9091/img/

2）问题原因：懂前端人一看就能知道这是前端js/css/图片对应的存放目录，这些目录在项目中单独访问没有实际意义，但是Nginx针对这些目录在被请求到时会返回403这个错误码，AppScan给出的修改建议是将这些目录不允许访问，即访问时直接返回404即可。

3）解决方案：因为我们前端页面是用Nginx代理的，所以需要在Nginx里面进行配置，具体配置内容如下：

location = /img/ {
    return 404;
}
location = /js/ {
    return 404;
}
location = /css/ {
    return 404;
}

注意："等号"表示精确匹配，即，当你请求的地址是http://127.0.0.1:9091/js/ 或 http://127.0.0.1:9091/css/ 或 http://1127.0.0.1:9091/img/时，则直接返回404错误码，而不是403错误码

3、缺少“Content-Security-Policy”头

1）问题URL：多数为js文件

2）问题原因：AppScan说是响应头中缺少配置。

3）解决方案：在Nginx的server里面通过add_header添加一行配置即可：add_header Content-Security-Policy "frame-ancestors 'self'"; 网上有的要添加好多参数，没添加成功，反而我这个参数成功了，具体原因没查，有兴趣的时候查一下。

server {
        listen       8081;
     #  server_name  www.sens1.com;
        server_name 127.0.0.1;
        client_max_body_size 2048M;
        charset utf-8;
        underscores_in_headers on;
        large_client_header_buffers 4 32k;
        add_header X-Frame-Options SAMEORIGIN;
        add_header X-Content-Type-Options nosniff;
        add_header X-Xss-Protection 1;
        add_header Content-Security-Policy "frame-ancestors 'self'";

        ..........省略

}

4、缺少“X-Content-Type-Options”头

1）问题URL：多数为js文件

2）问题原因：AppScan说是响应头中缺少配置。

3）解决方案：在Nginx的server里面通过add_header添加一行配置即可：add_header X-Content-Type-Options nosniff;

server {
        listen       8081;
     #  server_name  www.sens1.com;
        server_name 127.0.0.1;
        client_max_body_size 2048M;
        charset utf-8;
        underscores_in_headers on;
        large_client_header_buffers 4 32k;
        add_header X-Frame-Options SAMEORIGIN;
        add_header X-Content-Type-Options nosniff;
        add_header X-Xss-Protection 1;
        add_header Content-Security-Policy "frame-ancestors 'self'";

        ..........省略

}

5、缺少“X-XSS-Protection”头

1）问题URL：多数为js文件

2）问题原因：AppScan说是响应头中缺少配置。

3）解决方案：在Nginx的server里面通过add_header添加一行配置即可：add_header X-Xss-Protection 1;

server {
        listen       8081;
     #  server_name  www.sens1.com;
        server_name 127.0.0.1;
        client_max_body_size 2048M;
        charset utf-8;
        underscores_in_headers on;
        large_client_header_buffers 4 32k;
        add_header X-Frame-Options SAMEORIGIN;
        add_header X-Content-Type-Options nosniff;
        add_header X-Xss-Protection 1;
        add_header Content-Security-Policy "frame-ancestors 'self'";

        ..........省略

}

 6、发现内部 IP 泄露模式

1）问题URL：http://127.0.0.1:9091/config/index.js

2）问题原因：在这些配置文件中，存有直接写在js或HTML页面中的IP地址，这种情况会被人发现服务器的IP地址。

3）解决方案：将JS文件或HTML文件中的IP地址去掉，或者将IP地址存入其他非JS或HTML格式的文件中，通过ajax的方式将这些文件读入程序中，然后已变量的形式获取里面的IP，前面标粗字体加大的文字是重点，亲测可用，具体怎么实现，根据自己系统的实际情况去操作即可;

7、发现可能的服务器路径泄露模式

1）问题URL：http://127.0.0.1:9091/js/chunk-vendors.80ffbcd8.js

2）问题原因：未找到原因，这个是前端代码打包后生成的一个文件，估计是之前源文件中存在有服务器IP地址而出现的问题，把能泄露服务器地址的IP或路径去掉后，这个问题就没有了，一般是伴随6IP泄露一起出现的

3）解决方案：解决掉上面的IP泄露后，重新打包前端代码再发布，问题就消失了;

8、发现电子邮件地址模式

1）问题URL：http://127.0.0.1:9091/plugins/echarts/echarts.js

2）问题原因：在引用的第三方插件中，大多数在注释中都会带有插件发布者的邮箱；或者图片或其他的文件中带有类似于邮箱地址格式xxx@xxx.xxx只要符合这种格式的都会被认为是邮箱地址模式。

3）解决方案：将项目中的所有的类似于邮箱地址的字符串全部去掉即可，在我们项目中，基本图片名称类似于邮箱地址模式，都被扫出来了，太可怕了;

9、客户端(JavaScript)Cookie 引用

1）问题URL：http://127.0.0.1:9091/plugins/common.js

2）问题原因：文件中含有对cookie的操作，如document.cookie=e+"="+escape(t)+"expires="+o.toGMTString();

3）解决方案：将对cookie的操作全部换成其他方式即可，即项目中尽量不要有cookie的操作，AppScan认为这样是危险的;

10、未分类站点的链接

1）问题URL：http://127.0.0.1:9091/js/app.4633d956.js

2）问题原因：不知道具体啥原因，反正是跟文件中http://127.0.0.1:8080/SENS/refreshToken有关系，估计跟其中的IP有关系吧

3）解决方案：去掉其中的IP即可，这个app开头的文件，也是前端打包时生成的一个文件，它把好多源码中的程序都压缩到了这里面，估计也只有前端的同事能看懂吧;

 以上为本次漏洞修复的方案，整理时间2020年01月10日

分享到：

Centos7.0下编译安装FFmpeg4.0.2

2020-01-10 11:18
浏览 5831
评论(0)
分类:Web前端
查看更多

发表评论

您还没有登录,请您登录后再发表评论

最近访客更多访客>>

博主相关

文章分类

社区版块

存档分类

最新评论