tomcat example 项目存在的漏洞

IDC机房发了份检测报告过来，检测出example项目里面存在了一些漏洞，项目上线的时候，最好要去掉example

 漏洞分布详情

 

漏洞名称	数量	威胁等级
基于HTTP连接的登录请求	2	低危
敏感目录	2	低危
开启options方法	1	低危
Web应用程序错误	1	低危
E-Mail地址	6	信息
内网IP	3	信息

1. 漏洞信息
   1.  紧急
   2.  高危
   3.  中危
   4.  低危

          开启options方法

URL	http://222.76.126.53:8080/examples/jsp/include/
弱点	method_unsafe:OPTIONS,GET,HEAD,POST
请求报文	OPTIONS /examples/jsp/include/ HTTP/1.1 Host: 222.76.126.53:8080 User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; .NET4.0C; .NET4.0E; rv 11.0) like Gecko Cookie: JSESSIONID=C5045C1BB1A6AA1BF1138B335939CE37 Accept: */* Accept-Encoding: gzip,deflate Referer: http://222.76.126.53:8080/examples/jsp/include/include.jsp
修复建议	点击查看修复建议

基于HTTP连接的登录请求

URL	http://222.76.126.53:8080/examples/jsp/security/protected/
弱点	http://222.76.126.53:8080/examples/jsp/security/protected/
请求报文	GET /examples/jsp/security/protected/ HTTP/1.1 Host: 222.76.126.53:8080 User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; .NET4.0C; .NET4.0E; rv 11.0) like Gecko Accept: */* Accept-Encoding: gzip,deflate Cookie: JSESSIONID=E89D2D269D5DE05FEA70AC11045A4398; Referer: http://222.76.126.53:8080/examples/jsp/security/protected/index.jsp
修复建议	点击查看修复建议

 

URL	http://222.76.126.53:8080/examples/jsp/security/protected/index.jsp
弱点	http://222.76.126.53:8080/examples/jsp/security/protected/index.jsp
请求报文	GET /examples/jsp/security/protected/index.jsp HTTP/1.1 Host: 222.76.126.53:8080 User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; .NET4.0C; .NET4.0E; rv 11.0) like Gecko Accept: */* Accept-Encoding: gzip,deflate Cookie: JSESSIONID=C5045C1BB1A6AA1BF1138B335939CE37; Referer: http://222.76.126.53:8080/examples/jsp/
修复建议	点击查看修复建议

        Web应用程序错误

URL	http://222.76.126.53:8080/examples/jsp/error/err.jsp?name=integra&submit=Submit
弱点	HTTP CODE : 500
请求报文	GET /examples/jsp/error/err.jsp?name=integra%df%22&submit=Submit HTTP/1.1 Host: 222.76.126.53:8080 User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; .NET4.0C; .NET4.0E; rv 11.0) like Gecko Cookie: JSESSIONID=C5045C1BB1A6AA1BF1138B335939CE37 Accept: */* Accept-Encoding: gzip,deflate Referer: http://222.76.126.53:8080/examples/jsp/error/error.html
修复建议	点击查看修复建议

 

          敏感目录

URL
弱点	examples/
请求报文	GET /examples/ HTTP/1.1 Host: 222.76.126.53:8080 User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; .NET4.0C; .NET4.0E; rv 11.0) like Gecko Accept: */* Accept-Encoding: gzip,deflate
修复建议	点击查看修复建议

 

URL	http://222.76.126.53:8080/docs/
弱点	config/
请求报文	GET /docs/config/ HTTP/1.1 Host: 222.76.126.53:8080 User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; .NET4.0C; .NET4.0E; rv 11.0) like Gecko Accept: */* Accept-Encoding: gzip,deflate Referer: http://222.76.126.53:8080/
修复建议	点击查看修复建议

 

1. 修复建议
   1.  紧急漏洞修复建议
   2.  高危漏洞修复建议
   3.  中危漏洞修复建议
   4.  低危漏洞修复建议

• Web应用程序错误

漏洞名称	Web应用程序错误
漏洞描述	弱点描述：Web应用程序在处理访问者的请求时，如果符合Web应用程序的逻辑或者Web应用程序本身没有异常，那么将结果直接反馈给访问者。如果提交不符合Web应用程序逻辑的数据，Web应用程序在处理这些请求的时候未做相应的处理，直接把Web服务器的错误反馈给访问者。
修复建议	一般性的建议：过滤客户端提交的危险字符，客户端提交方式包含GET、POST、COOKIE、User-Agent、Referer、Accept-Language等，其中危险字符如下：[1] |[2] &[3] ;[4] $[5] %[6] @[7] "[8] "[9] [10] ()[11] +[12] CR[13] LF[14] ,[15] .开发语言的建议:[1] 检查入局请求，以了解所有预期的参数和值是否存在。 当参数缺失时，发出适当的错误消息，或使用缺省值。[2] 应用程序应验证其输入是否由有效字符组成（解码后）。 例如，应拒绝包含空字节（编码为 ）、单引号、引号等的输入值。[3] 确保值符合预期范围和类型。 如果应用程序预期特定参数具有特定集合中的值，那么该应用程序应确保其接收的值确实属于该集合。 例如，如果应用程序预期值在 10..99 范围内，那么就该确保该值确实是数字，且在 10..99 范围内。[4] 验证数据属于提供给客户端的集合。[5] 请勿在生产环境中输出调试错误消息和异常。
CVSS 3.0	--
CVE编号	--
CNNVD编号	--
漏洞信息	点击回到漏洞信息

 

• 开启options方法

漏洞名称	开启options方法
漏洞描述	弱点描述：Web服务器配置为允许使用危险的HTTP方法，如PUT、MOVE、COPY、DELETE、PROPFIND、SEARCH、MKCOL、LOCK、UNLOCK、PROPPATCH，该配置可能允许未授权的用户对Web服务器进行敏感操作。
修复建议	一般性的建议：[1]如果服务器不需要支持WebDAV请禁用WebDAV，或禁用掉不安全的HTTP方法，IIS在IIS服务中的"Web服务扩展"中关闭WebDav。
CVSS 3.0	5.3
CVE编号	--
CNNVD编号	--
漏洞信息	点击回到漏洞信息

• 基于HTTP连接的登录请求

漏洞名称	基于HTTP连接的登录请求
漏洞描述	弱点描述：在应用程序测试过程中，检测到基于不安全的http连接的登录请求。由于采用未加密的http请求发送敏感的登录请求，有可能被同一个局域网内的攻击者嗅探到用户输入的登录数据，如账号和密码。
修复建议	一般性的建议：[1]采用https协议。
CVSS 3.0	--
CVE编号	--
CNNVD编号	--
漏洞信息	点击回到漏洞信息

​​​​​​​

• 敏感目录

漏洞名称	敏感目录
漏洞描述	弱点描述：Web应用程序显露了某些目录名称，此信息可以帮助攻击者对站点进一步的攻击。例如，知道目录之后，攻击者便可能获得目录下边的文件名，也许还能猜出其它的文件名或目录名，并尝试访问它们。这些可能包含敏感信息。攻击者通过搜集信息，以便进一步攻击目标站点。
修复建议	一般性的建议：[1]使用非常规的目录名称。[2]特定的目录设置合理的权限。
CVSS 3.0	--
CVE编号	--
CNNVD编号	--
漏洞信息	点击回到漏洞信息