最近公司安排对网站进行渗透测试,经过一波沟通和对接,终于确定下了乙方公司。然后第一步就是进行ASV扫描,扫描后发现了几个问题,结合整改的方案记录如下:
电商系统底版为magento1.9.2,云端部署在aws上。
a、 SSL/TLS Server supports TLSv1.0
解决办法:在elb中更换高版本的tls协议;
验证:nmap --script ssl-enum-ciphers -p 443 www.xxxx.com
b、HTTP Security Header Not Detected
解决办法:nginx.conf添加以下配置并reload
add_header X-Frame-Options SAMEORIGIN;
add_header X-XSS-Protection "1; mode=block";
add_header X-Content-Type-Options nosniff;
验证:
curl -I www.xxx.com
c、Session Cookie Does Not Contain the "Secure" Attribute
解决办法:app\code\core\Mage\Core\Model\Cookie.php
更改isSecure如下:
public function isSecure()
{
return $this->_getRequest()->isSecure();
}
验证:
https下验证是否成功
d、Cookie Does Not Contain The "secure" Attribute
解决办法:如c