AppScan安全专项问题解决

最新推荐文章于 2024-08-08 10:27:10 发布
最新推荐文章于 2024-08-08 10:27:10 发布
阅读量1.1k 收藏 11
点赞数 26
文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_61869253/article/details/139880535
版权

1.Content-Security-Policy头缺失或不安全

1.1作用

简称CSP，意为内容安全策略，通过设置约束指定可信的内容来源，降低异源文件攻击，例如：js/css/image等。不建议配置，一是安全威胁较低，而是需要熟悉每一个站点资源引用情况，并且后续资源引用发生变化会导致错误。

1.2 相关指令值
指令名demo说明
default-src‘self’ [cdn.example.com](http://cdn.example.com
“cdn.example.com”)默认策略,可以应用于js文件/图片/css/ajax请求等所有访问
script-src‘self’ js.example.com
定义js文件的过滤策略
style-src‘self’ css.example.com
定义css文件的过滤策略
img-src‘self’ img.example.com
定义图片文件的过滤策略
connect-src‘self’定义请求连接文件的过滤策略
font-srcfont.example.com
定义字体文件的过滤策略
object-src‘self’定义页面插件的过滤策略,如 , 或者等元素
media-srcmedia.example.com
定义媒体的过滤策略,如 HTML6的 , 等元素
frame-src‘self’定义加载子frmae的策略
sandboxallow-forms allow-scripts沙盒模式,会阻止页面弹窗/js执行等,你可以通过添加allow-forms
allow-same-origin allow-scripts allow-popups, allow-modals, allow-orientation-
lock, allow-pointer-lock, allow-presentation, allow-popups-to-escape-sandbox,
and allow-top-navigation 策略来放开相应的操作
report-uri/some-report-uri
1.3 示例
default-src 'self';只允许同源下的资源
script-src 'self';只允许同源下的js
script-src 'self' www.google-analytics.com ajax.googleapis.com;允许同源以及两个地址下的js加载
default-src 'none'; script-src 'self'; connect-src 'self'; img-src 'self'; style-src 'self';多个资源时,后面的会覆盖前面的

nginx配置文件中添加如下：
add_header Content-Security-Policy "default-src 'self'";只允许同源下的资源
add_header Content-Security-Policy "upgrade-insecure-requests;content *";将本站内部http链接自动改为https，并不限制内容加载来源。

2. X-Content-Type-Options 头缺失或不安全

2.1 作用

防止在IE9、chrome和safari中的MIME类型混淆攻击。firefox目前对此还存在争议。通常浏览器可以通过嗅探内容本身的方法来决定它是什么类型，而不是看响应中的content-
type值。 如通过精心制作一个图像文件，并在其中嵌入可以被浏览器所展示和执行的 HTML 和 JavaScript
代码。由于未关闭资源的类型猜测，浏览器将直接执行嵌入的 JavaScript 代码，而不是显示图片。 通过设置 X-Content-Type-
Options：如果content-type和期望的类型匹配，则不需要嗅探，只能从外部加载确定类型的资源

2.2 Nginx 的配置

# 这个响应头的值只能是 nosniff
add_header X-Content-Type-Options nosniff;

3. X-XSS-Protection头缺失或不安全

3.1 作用
用于防范及过滤 XSS，现在大部分浏览器都默认开启里XSS保护
3.2 配置项
0：禁用XSS保护；
1：启用XSS保护；
1; mode=block：启用XSS保护，并在检查到XSS攻击时，停止渲染页面（例如IE8中，检查到攻击时，整个页面会被一个#替换）；
3.3 Nginx配置

add_header X-XSS-Protection "1; mode=block";

4.Strict-Transport-Security头缺失或不安全

4.1 作用
Strict Transport Security (STS) 是用来配置浏览器和服务器之间安全的通信。它主要是用来防止中间人攻击，因为它强制所有的通信都走TLS。目前IE还不支持 STS头。
需要注意的是，在普通的http请求中配置STS是没有作用的，因为攻击者很容易就能更改这些值。为了防止这样的现象发生，很多浏览器内置了一 个配置了STS的站点list。
4.2 配置项
max-age是必选参数，是一个以秒为单位的数值，它代表着HSTS Header的过期时间，通常设置为1年，即31536000秒。
includeSubDomains是可选参数，如果包含它，则意味着当前域名及其子域名均开启HSTS保护。
preload是可选参数，一个浏览器内置的使用HTTPS的域名列表。
4.3 Nginx的配置

add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";

5.跨帧脚本编制防御缺失或不安全

5.1 作用

X-Frame-Options 该响应头用于是否允许浏览器加载 frame、 iframe、 object 等属性。可以使用该功能来避免 点击劫持

5.2 配置项
X-Frame-Options: DENY
X-Frame-Options: SAMEORIGIN
X-Frame-Options: ALLOW-FROM <https://example.com/>
X-Frame-Options: ALLOWALL

当设置为 DENY 时，站点禁止任何页面被嵌入。
当设置为 SAMEORIGIN 时，只允许加载同源的 fram/iframe/object。
当设置为 ALLOW-FROM 时，只允许加载指定的源
当设置为 ALLOWALL 时表示允许全部来源域名
5.3 Nginx 配置
add_header X-Frame-Options SAMEORIGIN always;

6.具有不安全、不正确或缺少 SameSite 属性的 Cookie

6.1 SameSite

为了从源头上解决CSRF（跨站请求伪造）攻击，Set-Cookie响应头新增Samesite属性，它用来标明这个 Cookie是个“同站
Cookie”，同站Cookie只能作为第一方Cookie，不能作为第三方Cookie，Samesite 有三个属性值，分别是 Strict
、Lax和None。

通过将 Cookie 限制为第一方或同一站点上下文，防止 Cookie 信息泄露 如果没有额外的保护措施（例如反 CSRF
令牌），攻击可能会扩展到跨站点请求伪造 (CSRF) 攻击。 SameSite 属性控制如何为跨域请求发送 Cookie。
该属性可以有三个值：“Lax”、“Strict”或“None”。

如果使用“None”，Web 站点可能会向另一个 Web 站点创建跨域 POST HTTP 请求，浏览器会自动向该请求添加 Cookie。
如果没有适当的保护措施（例如反 CSRF 令牌），则可能会导致跨站请求伪造 (CSRF) 攻击。 模式及其用途： “Lax”模式：Cookie 将仅随顶级
GET 请求一起发送。

“Strict”模式；即使用户点击另一个 Web 站点的链接，也不会以任何跨站点使用方式发送该Cookie。

“None”模式：Cookie 将随跨站点请求一起发送。

具有“Lax”或“None”的属性必须设置“Secure”标志，并且必须通过 https 传输。

示例 - Set-Cookie: key=value; SameSite=Lax;Secure

建议将属性设置为“Strict”。 示例 - Set-Cookie: key=value; SameSite=Strict

6.2 Nginx的配置
add_header Set-Cookie "Path=/; HttpOnly; SameSite=Strict";

7.发现可高速缓存的 SSL 页面

7.1 风险

可能会收集有关 Web 应用程序的敏感信息，如用户名、密码、机器名和/或敏感文件位置

缺省情况下，大部分 Web 浏览器都配置成会在使用期间高速缓存用户的页面。 这表示也会高速缓存 SSL 页面。不建议让 Web 浏览器保存任何 SSL
信息，因为当有漏洞存在时，可能会危及这个信息。

7.2 修复建议

在所有 SSL页面及含有敏感数据的所有页面上，禁用高速缓存，可以通过在响应头中或者响应体的meta中配置(二选一)

  1. “Cache-Control: no-store”
  2. "Pragma: no-cache"和 “Cache-Control: no-cache”
7.3 Nginx的配置
  add_header Cache-Control "no-cache; no-store;  must-revalidate";
	add_header Pragma "no-cache";
	add_header Expires "0";

Cache-Control: private;

此伪指令可向代理指示某个页面中包含私有信息，因此不能由共享高速缓存进行高速缓存。但是，它不会指示浏览器阻止高速缓存此页面。

Cache-Control：no-cache;

此伪指令也可向代理指示某个页面中包含私有信息，因此不能高速缓存。它还会指示浏览器重新验证服务器以检查是否有新的版本可用。这意味着浏览器可能会存储敏感页面或要在重新验证中使用的信息。某些浏览器不一定会跟踪
RFC，因此可能会将 no-cache 视为 no-store。

Cache-Control：no-store;

这是最安全的伪指令。它同时指示代理和浏览器不要高速缓存此页面或将其存储为它们的高速缓存文件夹。

Pragma: no-cache；对于不支持高速缓存控制标题的较旧浏览器，该伪指令是必需的。

8.反射型跨站点脚本攻击

Nginx配置：

if ($args ~* "%3Cscript%3E") {return 400;}
if ($request_uri ~* "%3Cscript%3E") {return 400;}

9. API成批分配

9.1 原因

如果 API 端点自动将提供数据的客户机转换为内部对象属性，而不考虑这些属性的敏感度和暴露水平，则 API 端点容易受到成批分配攻击。

9.2 风险

API 成批分配利用可能导致特权升级、数据篡改、绕过安全机制。

9.3 漏洞条件：

1、接口类型为application/json ，参数传值、form表单等类型暂未受影响。

2、请求json参数不是接收参数的javabean及其父类中 的任意属性。

3、接口HTTP状态码为200

#javabean
@Data
public class BaseEntity{
	public String tenantId;
}
@Data
public class Car extends BaseEntity{
	public String color;
	public String company;
	public String seats;
}

#controller
@PostMapping(value = "/query")
public BaseResponse query(@RequestBody Car car){
	xxxxxx;
}

#前端请求

请求 URL: <http://localhost/cars/query>
请求方法: POST
HTTP状态码：200
playload:{"color":"red","company":"ltl","seats":"2-2"} #正常请求
playload:{"color":"red","company":"ltl"} 		      #正常请求
playload:{"color":"red","power":"gas"} 	               #appscan构造的请求，power属性在Car及其父类中不存在，触发API成批分配规则
9.4 解决方案：

如果SpringBoot使用的默认jackson做的序列化，可以考虑对jackson配置来解决传冗余参的问题。

spring:
  jackson:
    serialization:
      # 某些类对象无法序列化的时候，是否报错
      fail_on_empty_beans: true
    deserialization:
       # json对象中有不存在的属性时候，是否报错
      fail_on_unknown_properties: true

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；

国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2022年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

img

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才 需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。
img

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。

4.工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

img

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

python-qing
关注
  • 26
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
漏洞修复：检测到目标Content-Security-Policy响应头缺失
yjfkeifk的博客
07-01 1144
对于 IIS，请参阅：https://technet.microsoft.com/pl-pl/library/cc753133%28v=ws.10%29.aspx。对于 nginx，请参阅：http://nginx.org/en/docs/http/ngx_http_headers_module.html。对于 Apache，请参阅：http://httpd.apache.org/docs/2.2/mod/mod_headers.html。名称：Content-Security-Policy。
AppScan安全检测工具，检测出的问题解决
yangye1225的博客
12-29 8030
一、跨站点脚本请求编制 二、跨站点请求伪造 三、HTTP动词篡改的认证旁路
怎么应对API 成批分配问题？
最新发布
m0_50736744的博客
08-08 438
API 成批分配利用可能导致特权升级、数据篡改、绕过安全机制。对于POST请求，如果请求时body里存在后台不需要的字段，但是响应成功
Nginx配置安全策略总结
智慧，不是知识、不是经验、不是思辩，而是超越自我中心的态度。
09-27 4713
基于AppScan安全扫描工具检测出来的服务器安全隐患，通过nginx负载的配置总结。
常见四个“头缺失或不安全”问题
(ง •_•)ง
11-23 5685
常见的头缺失或不安全问题： 1、“Content-Security-Policy”头缺失或不安全 2、“X-Content-Type-Options”头缺失或不安全 3、“X-XSS-Protection”头缺失或不安全 4、设置HTTP请求头(X-Frame-Options) 解决方法： 中间件为IIS，网站根目录下找到“web.cofig”文件，没有则新建该文件。复制以下代码，粘贴到web.c...
AppScan检测“Content-Security-Policy”头缺失或不安全
热门推荐
liudoyang的博客
12-31 2万+
“Content-Security-Policy”头缺失或不安全 用AppScan对url进行检测出现“Content-Security-Policy”头缺失或不安全问题 解决方法： 在拦截器或者过滤器中添加 response.setHeader("Content-Security-Policy", "default-src 'self'; script-src 'self'; frame-anc...
AppScan安全扫描记录遇到的一些问题
qq_41345150的博客
09-26 1838
AppScan安全扫描记录遇到的一些问题sql注入&跨站点脚本编制&通过框架钓鱼&链接注入（便于跨站请求伪造）缺少跨帧脚本编制防御 X-Frame-Options缺少“Content-Security-Policy”头缺少 HTTP Strict-Transport-Security 头缺少“X-Content-Type-Options”头缺少“X-XSS-Protecti...
AppScan安全扫描问题解决方案
weixin_43988600的博客
02-23 7015
本人遇见过的扫描漏洞解决方案。 一、查询中的密码参数 【解决方案】 password是关键字，把passwod的传参名称改为pcode或其他名称。 风险： 可能会窃取查询字符串中发送的敏感数据，例如用户名和密码 原因： SSL（安全套接字层）可为 HTTP 提供数据机密性和完整性。通过加密 HTTP 消息，SSL 可防止攻击者窃听或更改消息内容。登 录页应始终采用 SSL 来保护从客户机传输到服务器的用户名和密码。如果不使用 SSL，会使用户凭证在传输到服务器期间作为 明文公开，从而易被窃听。 固定值：.
AppScan漏洞风险处理
qq_32590535的博客
06-19 3355
文章主要记录了一些由IBM Security AppScan Standard扫描的漏洞以及对应的修复方案，主要的应用技术架构为java的springboot单体
AppScan等保问题
Ikaros的博客
08-18 1778
AppScan等保问题
安全测试--AppScan使用问题记录
IceKing12138的博客
11-10 480
安全测试appscan的下载使用。
Appscan安全测试
Coast的博客
10-05 1900
Appscan主要是对web应用和移动端app做安全扫描，通过录制脚本、选择扫描规则、回放脚本，来发现系统存在的SQL注入、XSS、CSRF等安全漏洞，并能自动生成安全测试报告。
DevSecOps工具链技术实践.pdf
10-15
同时，通过模糊测试工具如Burp Suite Pro和OWASP Mantra进行专项测试，针对SQL注入、XSS攻击等常见问题进行防护。 5. **部署和运行阶段**：在生产环境中，使用Tenable Nessus进行主机和数据库的安全扫描，...
【愚公系列】2023年06月 网络安全高级班 025.HW护网行动攻防演练介绍和工具
时光隧道
05-12 9676
HW护网行动攻防演练是一种针对网络安全的实践活动，用于测试和提高组织的网络安全防御和攻击能力。通过模拟真实的网络攻击和防御行动，演练参与者在紧张压力下的反应和解决问题的能力，发现网络安全漏洞和提高安全意识，加强网络安全防御能力。攻防演练的成员组成一般包括攻击者、防御者和观察者三个角色。攻击者的任务是模拟真实的黑客攻击，找出系统的漏洞并利用其进行攻击，以检验系统的安全性。防御者则负责发现和修补漏洞，并保护系统不受攻击。观察者则负责记录和分析整个攻防过程，并提供建议和改进意见。
面试软件测试总结（常见的面试问题）
qq_39879689的博客
11-03 3755
软件测试级别？ 单元测试：单元测试是对软件组成单元进行测试。其目的是检验软件基本组成单位的正确性。测试的对象是软件设计的最小单位：模块。Findyou又称为模块测试，一个单元测试是用于判断某个特定条件（或者场景）下某个特定函数的行为。（测试内容：模块接口测试、局部数据结构测试、路径测试、错误处理测试、边界测试） 集成测试：（集成测试也称联合测试、组装测试，将程序模块采用适当的集成策略组装起来，...
2023最新软件测试学习思维导图（从小白到大师进阶之路）
ITBrickMover的博客
02-15 3354
2023最新软件测试学习思维导图
软件测试,软件测试练习题
IDtangjiasanshao的博客
08-15 6299
软件测试,软件测试练习题
检测到目标Content-Security-Policy响应头缺失
lxyoucan的博客
07-14 2040
HTTP 响应头Content-Security-Policy允许站点管理者控制用户代理能够为指定的页面加载哪些资源。除了少数例外情况，设置的政策主要涉及指定服务器的源和脚本结束点。Content-Security-Policy响应头的缺失使得目标URL更易遭受跨站脚本攻击。
“Content-Security-Policy”头缺失或不安全
weixin_42299862的博客
07-06 2万+
https://server.51cto.com/sSecurity-576115.htm?mobile https://developer.mozilla.org/zh-CN/docs/Web/HTTP/CSP response通过发送一个 CSP 头部，来告诉浏览器什么是被授权执行的与什么是需要被禁止的。其被誉为专门为解决XSS攻击而生的神器。 CSP 的实质就是白名单制度，开发者明确告诉客户端，哪些外部资源可以加载和执行，等同于提供白名单。它的实现和执行全部由浏览器完成，开发者只需提供配置。 “Con
解决AppScan内存不足问题及Web应用安全测试
"德米特dm3系列伺服驱动器应用手册中的常见问题...理解和解决“AppScan虚拟内存不足”的问题对于有效使用AppScan进行Web应用安全测试至关重要。同时，对Web服务的前期评估和良好的硬件配置是保证扫描质量和效率的基础。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值