自定义博客皮肤VIP专享

*博客头图:

格式为PNG、JPG,宽度*高度大于1920*100像素,不超过2MB,主视觉建议放在右侧,请参照线上博客头图

请上传大于1920*100像素的图片!

博客底图:

图片格式为PNG、JPG,不超过1MB,可上下左右平铺至整个背景

栏目图:

图片格式为PNG、JPG,图片宽度*高度为300*38像素,不超过0.5MB

主标题颜色:

RGB颜色,例如:#AFAFAF

Hover:

RGB颜色,例如:#AFAFAF

副标题颜色:

RGB颜色,例如:#AFAFAF

自定义博客皮肤

-+
  • 博客(14)
  • 收藏
  • 关注

原创 编写HashMap实现简单单点登录/三终端登录

编写HashMap实现简单单点登录/三终端登录先上代码先上代码package com.zte.iptv.global;import javax.servlet.http.HttpSession;import java.util.*;public class MyHashMap<K,V> extends AbstractMap<K,V> { priva...

2020-04-25 13:23:08 448

原创 WEB安全漏洞之错误统一处理机制

漏洞说明当因为某些疏忽(开发问题等)或者用户恶意操作导致网页出现错误时,在未进行处理的情况下,浏览器往往会直接给出错误信息,甚至会详细到某个文件的某行代码出现了什么样的错误,这样可能会暴露项目的目录结构,将一些关键信息展示给攻击者。修复方案当异常或错误出现时,展示统一的错误提示页面error.jsp,避免关键信息的显示。相关的配置可以在web.xml中进行设置:<!-- 在web.x...

2019-05-20 14:59:21 587

原创 WEB安全漏洞之会话标识未更新漏洞

漏洞说明在用户进入登录页面,但还未登录时,会产生一个session,用户输入信息,登录以后,session的id没有改变,也就是说没有建立新session,原来的session没有被销毁, 可以继续使用,黑客可利用此漏洞窃取或操纵客户会话和cookie,用于模仿合法用户,从而能够以该用户身份查看或变更用户记录以及执行事务。简单的说,就是登录前后的JSESSIONID没有变化。修复方案核心思...

2019-05-20 14:40:00 1685

原创 WEB安全漏洞之关键信息明文传输漏洞

漏洞说明关键信息明文传输也是一个十分常见的漏洞。在前后端进行交互时,尤其是登录操作,需要注意对密码等关键信息进行加密,因为信息在传输过程中,可能会有被截获的危险。下面就针对扫描工具,给出几种方案。修复方案第一种 base64严格来说,base64其实算不上加密?毕竟base64只是一种常见的编码格式,但是对于安全性要求不太高的系统,也可以使用base64来避免漏洞扫描工具报出“关键信息...

2019-05-20 11:16:13 9729

原创 WEB安全漏洞之javascript版本漏洞

漏洞说明在用webinspect或者appscan等工具扫描项目的时候,js版本漏洞(版本过低)是其中比较常见的一个。漏洞说明为:项目使用了存在漏洞的jquery版本,可能会导致跨站脚本攻击(XSS)。修复该漏洞的方法为更新jquery版本,但有一个问题就是,不同的工具扫描的情况也不同,比如在项目中,我们把jqeury版本升级到v1.11.0,webinspect没有扫描出漏洞,但是AWVS则...

2019-05-20 10:14:34 15009

原创 WEB安全漏洞之XFS攻击、SSL协议漏洞及Http方法覆盖漏洞

漏洞说明这次对三类漏洞进行说明,之所以将它们放在一起,是因为这三类漏洞都可以在nginx中通过修改配置文件进行治理。XFS攻击漏洞说明:跨框架脚本(XFS)漏洞使攻击者能够在恶意页面的 HTMLiframe 标记内加载易受攻击的应用程序。攻击者可以使用此漏洞设计点击劫持攻击,以实施钓鱼式攻击、框架探查攻击、社会工程攻击或跨站点请求伪造攻击。简单的说,就是攻击者会将被攻击页面的网站内容嵌入...

2019-05-17 17:28:21 1500

原创 WEB安全漏洞之Cookie中缺少相关安全属性(HttpOnly、Secure)

漏洞说明在用webinspect工具对web项目进行扫描,会报一下两种错误:1.Cookie中缺少HttpOnly属性;2.Cookie中缺少Secure属性。HttpOnly属性浏览器通过document对象获取Cookie。HttpOnly作为保护Cookie安全的一个属性,一旦被设置,document对象便看不到Cookie了,同时,浏览器在访问网页时不受任何影响,因为Cookie...

2019-05-17 16:18:57 10453 1

原创 WEB安全漏洞之Host头攻击漏洞

总览漏洞说明解决方法漏洞说明开发人员一般依赖于HTTP Host header来方便的获得网站域名。例如,在php里用_SERVER[“HTTP_HOST”],在java里使用hreq.getHeader(“HOST”)等。但是这个header是不可信赖的,在请求传入后端的途中可能会被截获修改。如果后端没有对host header值进行处理(检验等),就有可能造成恶意代码的传入,或者己方用户信...

2019-05-17 15:10:14 3328

原创 XSS跨站漏洞

漏洞描述 攻击者可以通过构造URL注入JavaScript、VBScript、ActiveX、HTML或者Flash的手段,利用跨站脚本漏洞欺骗用户,收集Cookie等相关数据并冒充其他用户。通过精心构造的恶意代码,可以让访问者访问非法网站或下载恶意木马,如果再结合其他攻击手段(如社会工程学、提权等),甚至可以获取系统的管理权限。解决方法 对用户输入的数据进行全面安全检查或过滤,尤其注意检...

2018-09-06 10:43:44 359

原创 Web:本地搭建项目时的注意点

刚开始工作,参与业务开发的第一步是在本地先搭建好项目环境。项目搭建往往让人脑阔疼,因为动不动就可能因为某个步骤不对导致项目跑不起来。以下总结下本地项目搭建的步骤,避免之后再走弯路(使用IDE是eclipse):1.创建动态web项目,Locate选择项目具体地址。地址具体到 lib 目录所在的上一级目录(方便jar包的导入),下一步; 2.查看项目包目录,如果包目录的上一级是src,则不进行...

2018-08-23 16:04:06 288

原创 Web项目:会话Cookie中缺少HttpOnly属性和secure属性

当会话Cookie中不含有HttpOnly属性和secure属性时,注入站点的恶意脚本可能访问此Cookie,并窃取它的值。任何存储在会话令牌中的信息都可能被窃取,并在稍后用于身份盗窃或用户伪装。基本上,cookie 的唯一必需属性是“name”字段。常见的可选属性如下:“comment”、“domain”、“path”,等等。必须相应地设置“HttpOnly”属性,才能防止会话 cookie...

2018-08-23 15:52:34 12313 2

原创 Web项目中host头攻击漏洞

=============== Web项目在通过绿盟软件扫描的时候,提示“检测到目标URL存在http host头攻击漏洞”。漏洞的本意是,HTTP请求带了HOST头,WEB取了该HOST头作进一步动作,例如拼接URL。如果这个HOST是黑客非法伪造的,比如evil.com,那么拼接之后的URL就可能是http://evil.com/key=?value=,从而导致己方网站信息的泄露。解...

2018-08-23 15:34:07 4426

转载 Struts框架学习笔记(一)

Struts框架学习笔记(一)近日在跟韩顺平老师的视频学习structs1框架,根据第1、2讲,学习笔记如下:1.什么是struts?structs是一种框架;structs是一种web框架;structs作为一种框架,在一定程度上会约束程序猿的自由。2.为什么要有struts?   structs是mvc模式的一种规范。每个人对mvc模式的理解不同。它使得程序更加规范化;程序的开发效率得

2017-09-10 21:14:54 483

转载 mysql中文乱码问题解决办法

mysql中文乱码问题解决办法建库和建表时使用相同的编码格式即可,例如:create schema scheduel character set 'utf8' collate 'utf8_general_ci'; use scheduel; create table user (Uid char(20) not null, Uname

2017-07-17 15:58:02 362

空空如也

空空如也

TA创建的收藏夹 TA关注的收藏夹

TA关注的人

提示
确定要删除当前文章?
取消 删除