网站漏洞扫描及常见问题解决

一、工具介绍

最近需要漏扫和渗透性测试，学习了行家的博客，决定使用下面几个工具，分别是Nessus、nmap、appscan和SQLmap。

Nessus：Nessus 是目前全世界最多人使用的系统漏洞扫描与分析软件。总共有超过75,000个机构使用Nessus 作为扫描该机构电脑系统的软件。

nmap：nmap 是不少黑客爱用的工具 ，黑客会利用nmap来搜集目标电脑的网络设定，从而计划攻击的方法。

appscan：appscan是IBM公司开发的用于扫描web应用的基础架构，也是安全渗透行业扛把子的产品；

SQLmap是对数据库进行渗透测试和漏洞查找。

二、 分析扫描出的安全性问题
AppScan扫描出的问题会一般按照严重程度分高，危，参三种类型，高危属于必须要解决的问题；低危一般属于config配置，或IIS配置问题；低的问题，一般也可能是高，低的衍生问题，高危问题造成的衍生问题特别多，故解决问题时，建议从高至低看，并且先易后难。

Nessus将系统的漏洞归结为三类：
Security Holes: 该项攻击成功并且会造成极大的安全风险。
Security Warnings: 该项攻击成功，但是不会对安全造成大的影响。
Security Notes: 软件通过扫描发现了系统相关信息。
接下来，Nessus还会将这三类漏洞依据风险因素分解为不同等级：
Critical:已经威胁到远端主机的安全。
Serious: 该漏洞泄漏的信息可以被黑客利用进行攻击 。
High: 黑客可以在远端主机获取shell，或者执行任意命令。
Medium: 该安全漏洞可以导致用户权限扩大。
Low: 从该漏洞获取的信息可以被黑客利用，但是不会立刻造成严重威胁。
None: 系统不存在隐患。

三、常见问题及解决方案：

1、缺少“Content-Security-Policy”头

 

解决方案，在jsp页面中添加：

<meta http-equiv="Content-Security-Policy" content="script-src 'self'; object-src 'none'; style-src cdn.example.org third-party.org; child-src https:">

知识普及请看：http://www.ruanyifeng.com/blog/2016/09/csp.html 或者 https://www.jianshu.com/p/74ea9f0860d2

在Filter中添加：

 /**解决Missing "Content-Security-Policy" header
         * Missing "X-Content-Type-Options" header
         * Missing "X-XSS-Protection" header导致Web 应用程序编程或配置不安全
         * **/   
        response.setHeader("Access-Control-Allow-Origin", request.getHeader("Origin"));
        response.setHeader("Access-Control-Allow-Methods", "POST, GET");//允许跨域的请求方式
//        response.setHeader("Access-Control-Max-Age", "3600");//预检请求的间隔时间
        response.setHeader("Access-Control-Allow-Headers", "Origin, No-Cache, X-Requested-With, If-Modified-Since, Pragma, Last-Modified, Cache-Control, Expires, Content-Type, X-E4M-With,userId,token,Access-Control-Allow-Headers");//允许跨域请求携带的请求头
        response.setHeader("Access-Control-Allow-Credentials","true");//若要返回cookie、携带seesion等信息则将此项设置我true

        response.setHeader("strict-transport-security","max-age=16070400; includeSubDomains");//简称为HSTS。它允许一个HTTPS网站，要求浏览器总是通过HTTPS来访问它
        response.setHeader("Content-Security-Policy","default-src 'self'");//这个响应头主要是用来定义页面可以加载哪些资源，减少XSS的发生
        response.setHeader("X-Content-Type-Options","nosniff");//互联网上的资源有各种类型，通常浏览器会根据响应头的Content-Type字段来分辨它们的类型。通过这个响应头可以禁用浏览器的类型猜测行为
        response.setHeader("X-XSS-Protection","1; mode=block");//1; mode=block：启用XSS保护，并在检查到XSS攻击时，停止渲染页面
        response.setHeader("X-Frame-Options","SAMEORIGIN");//SAMEORIGIN：不允许被本域以外的页面嵌入；
2、Apache Tomcat Default Files

（1）删除Tomcat中webapp下所有，保留你自己项目和ROOT两个，然后删除ROOT下所有文件，新建一个文件404.html,至于这个404页面写啥东西无所谓了

（2）在conf/web.xml中添加如下

<error-page>

        <error-code>404</error-code>

        <location>/404.html</location>

</error-page>
（3）重启tomcat服务即可生效

3、SSH Weak Algorithms Supported

（1）漏洞原因为使用 Arcfour Arcfour-128 Arcfour-256 加密算法 此加密算法本身存在漏洞要在服务端禁止使用此加密算法登录服务器
（2）打开sshd_config配置文件
vim /etc/ssh/sshd_config 打开时请注意打开的是sshd_config不是ssh_config
sshd_config为服务端配置文件 ssh_config为客户端配置文件
在sshd_config里添加：Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc

（3）重启sshd问题解决

4、IP Forwarding Enabled

错误提示开启了IP地址转发，这个看需求了，如果就是需要，那就没必要关注，如果不需要开启转发功能，那就关闭就可以了。
输入echo 0 > /proc/sys/net/ipv4/ip_forward
echo 0 为禁止IP转发
echo1 为开启IP转发