服务器常见漏洞修复配置

最新推荐文章于 2024-08-14 10:38:26 发布
最新推荐文章于 2024-08-14 10:38:26 发布
阅读量583 收藏
点赞数
分类专栏： Java原代码 文章标签： 服务器 运维 ssl java tomcat
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_28802477/article/details/128564690
版权

记录一些遇见过的漏洞并处理方案备忘：应用程序错误消息，tomcat默认页面泄漏，nginx常用配置，xss攻击。

一、应用程序错误消息：

                500的报错页面，一般会把错误信息返回到页面，但是漏洞扫描过不去，

                1）配置500页面，隐藏错误信息，更改为比较友好的提示信息

                2）web.xml  添加配置：

                <error-page>
                        <error-code>500</error-code>
                        <location>/WEB-INF/500.jsp</location>
                </error-page>
                <error-page>
                        <error-code>400</error-code>
                        <location>/WEB-INF/400.jsp</location>
                </error-page>
                <error-page>
                        <error-code>404</error-code>
                        <location>/WEB-INF/404.jsp</location>
                </error-page>
                <error-page>
                        <error-code>403</error-code>
                        <location>/WEB-INF/403.jsp</location>
                </error-page>

                3）server.xml  添加配置：

<Valve className="org.apache.catalina.valves.ErrorReportValve" showReport="false" showServerInfo="false" />

二、tomcat默认页面泄漏

                删除tomcat文件夹：/webapps/ROOT(删除原来的，新建一个空的)

                                                /webapps/examples(删除)

                                                /webapps/docs(删除)

三、nginx常用配置

        upstream  pnxxxssh.mhedu.sh.cn {  #服务器集群名字   
                       server    127.0.0.1:8080  weight=90;   #访问权重
                       server    119.3.146.11:8080  weight=10;    #访问权重
            }

                   server {#80端口监听，http自动转为https
                            listen 80;
                            server_name pnxxxssh.mhedu.sh.cn;
                            rewrite ^(.*) https://$server_name$1 permanent;
                    }            

                 

 server {
    
    listen       443;
    server_name  pnxxxssh.mhedu.sh.cn;
    ssl on;
    ssl_certificate _.mhedu.sh.cn.crt; #ssl证书
        ssl_certificate_key _.mhedu.sh.cn.key;#ssl证书
        ssl_session_timeout 5m;
        ssl_protocols TLSv1.2; #使用TLS协议
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!ADH:!MD5;#加密套件的类型,ssl使用中等密码强度规则
        ssl_prefer_server_ciphers on;
        default_type 'text/html';
            charset  ISO-88509-1;

       

       location /flydi {
    proxy_pass http://pnxxxssh.mhedu.sh.cn;
        }

         

四、xss攻击：Java项目内解决

                项目web.xml:

                        <filter>
                           <filter-name>XssFilter</filter-name>
                           <filter-class>com.*****.*****.common.filter.XssFilter</filter-class>
                        </filter>
                        <filter-mapping>
                           <filter-name>XssFilter</filter-name>
                           <url-pattern>/*</url-pattern>
                           <dispatcher>REQUEST</dispatcher>
                        </filter-mapping>

XssFilter：

package com.*****.*****.common.filter;

import java.io.IOException;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;

public class XssFilter implements Filter {
    FilterConfig filterConfig = null;
    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
        // TODO Auto-generated method stub
        this.filterConfig = filterConfig;
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        // TODO Auto-generated method stub
         chain.doFilter(new XssHttpServletRequestWrapperNew(
                    (HttpServletRequest) request), response);
    }

    @Override
    public void destroy() {
        // TODO Auto-generated method stub
        this.filterConfig = null;
    }  

}
 

XssHttpServletRequestWrapperNew：

package com.*****.*****.common.filter;

import java.text.CharacterIterator;
import java.text.StringCharacterIterator;
import java.util.regex.Pattern;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;

public class XssHttpServletRequestWrapperNew extends HttpServletRequestWrapper{
    HttpServletRequest orgRequest = null;

    public XssHttpServletRequestWrapperNew(HttpServletRequest request) {
        super(request);
        orgRequest = request;
    }

    /**
     * 覆盖getParameter方法，将参数名和参数值都做xss过滤。
     * 如果需要获得原始的值，则通过super.getParameterValues(name)来获取
     * getParameterNames,getParameterValues和getParameterMap也可能需要覆盖
     */
    @Override
    public String getParameter(String name) {
        String value = super.getParameter(xssEncode(name));
        if (value != null) {
            value = xssEncode(value);
            value = HTMLEncode(value);
        }
        return value;
    }

    /**
     * 对一些特殊字符进行转义
     */
    public static String HTMLEncode(String aText){
        final StringBuilder result = new StringBuilder();
        final StringCharacterIterator iterator = new StringCharacterIterator(aText);
        char character =  iterator.current();
        while (character != CharacterIterator.DONE ){
            if (character == '<') {
                result.append("&lt;");
            } else if (character == '>') {
                result.append("&gt;");
            } else if (character == '&') {
                result.append("&amp;");
            } else if (character == '\"') {
                result.append("&quot;");
            } else {
                result.append(character);
            }
            character = iterator.next();
        }
        return result.toString();
    }


    /**
     * 覆盖getHeader方法，将参数名和参数值都做xss过滤。 如果需要获得原始的值，则通过super.getHeaders(name)来获取
     * getHeaderNames 也可能需要覆盖
     */
    @Override
    public String getHeader(String name) {
        String value = super.getHeader(xssEncode(name));
        if (value != null) {
            value = xssEncode(value);
        }
        return value;
    }

    /**
     * 将容易引起xss漏洞的半角字符直接替换成全角字符
     * 目前xssProject对注入代码要求是必须开始标签和结束标签(如<script></script>)正确匹配才能解析，否则报错；因此只能替换调xssProject换为自定义实现
     * @param s
     * @return
     */
    private static String xssEncode(String s) {
        if (s == null || s.isEmpty()) {
            return s;
        }

        String result = stripXSS(s);
        if (null != result) {
            result = escape(result);
        }

        return result;

    }

    public static String escape(String s) {
        StringBuilder sb = new StringBuilder(s.length() + 16);
        for (int i = 0; i < s.length(); i++) {
            char c = s.charAt(i);
            switch (c) {
                case '>':
                    sb.append('＞');// 全角大于号
                    break;
                case '<':
                    sb.append('＜');// 全角小于号
                    break;
                case '\'':
                    sb.append('‘');// 全角单引号
                    break;
                case '\"':
                    sb.append('“');// 全角双引号
                    break;
                case '\\':
                    sb.append('＼');// 全角斜线
                    break;
                case '%':
                    sb.append('％'); // 全角冒号
                    break;
                default:
                    sb.append(c);
                    break;
            }

        }
        return sb.toString();
    }

    private static String stripXSS(String value) {
        if (value != null) {

            // Avoid null characters
            value = value.replaceAll("", "");
            // Avoid anything between script tags
            Pattern scriptPattern = Pattern.compile("<script>(.*?)</script>",
                    Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // Avoid anything in a src='...' type of expression
            scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\'(.*?)\\\'",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE
                            | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\"(.*?)\\\"",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE
                            | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // Remove any lonesome </script> tag
            scriptPattern = Pattern.compile("</script>",
                    Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // Remove any lonesome <script ...> tag
            scriptPattern = Pattern.compile("<script(.*?)>",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE
                            | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // Avoid eval(...) expressions
            scriptPattern = Pattern.compile("eval\\((.*?)\\)",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE
                            | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // Avoid expression(...) expressions
            scriptPattern = Pattern.compile("expression\\((.*?)\\)",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE
                            | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // Avoid javascript:... expressions
            scriptPattern = Pattern.compile("javascript:",
                    Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // Avoid vbscript:... expressions
            scriptPattern = Pattern.compile("vbscript:",
                    Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // Avoid οnlοad= expressions
            scriptPattern = Pattern.compile("onload(.*?)=",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE
                            | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");

            scriptPattern = Pattern.compile("<iframe>(.*?)</iframe>",
                    Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");

            scriptPattern = Pattern.compile("</iframe>",
                    Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // Remove any lonesome <script ...> tag
            scriptPattern = Pattern.compile("<iframe(.*?)>",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE
                            | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
        }
        return value;
    }

    /**
     * 获取最原始的request
     *
     * @return
     */
    public HttpServletRequest getOrgRequest() {
        return orgRequest;
    }

    /**
     * 获取最原始的request的静态方法
     *
     * @return
     */
    public static HttpServletRequest getOrgRequest(HttpServletRequest req) {
        if (req instanceof XssHttpServletRequestWrapperNew) {
            return ((XssHttpServletRequestWrapperNew) req).getOrgRequest();
        }

        return req;
    }
}
 

     

             

jackey_yjl
关注
专栏目录
ngnix 漏洞修复文档
03-03
Nginx 漏洞修复文档 Nginx 是一种流行的开源 web 服务器软件，但如果配置不当，可能会出现多种漏洞，影响网站的安全性。以下是 Nginx 漏洞修复文档的相关知识点： 1. X-Content-Type-Options 响应头缺失 X-...
【web-利用信息泄露】（10.1）利用错误消息
08-31 1383
【利用错误消息】
【教程】一些服务器常见漏洞的修复方法，亲测超详细
热门推荐
xfxuezhang.cn
09-14 2万+
一些常见的漏洞修复
Apache Tomcat 信息泄露漏洞CVE-2024-21733、CVE-2024-24549和CVE-2024-34750排查处理
最新发布
企业实战系列集 ●●● https://ximenjianxue.blog.csdn.net
08-14 4274
现场的为中小型项目，未直接使用功能tomcat作为容器使用，仅是jar包里spring-boor框架引入tomcat 内嵌到 web项目中作为web server使用，从而保证项目包可直接运行 webapp项目，无需再部署到额外的tomcat服务了；当不想因为Tomcat就改变SpringBoot的版本时，可以采用排除SpringBoot中的Tomcat包，然后手动指定新的Tomcat的版本来实现升级内置组件的目的，当然还要引入Tomcat相关的包。其中，Coyote作为Tomcat的。
Web安全之安全配置错误类漏洞详解及预防
路多辛的所思所想
02-05 1725
例如使用了有安全缺陷的版本、没有修改默认的帐户密码、给了某些帐户过高的权限、对敏感资源没有做访问控制等等，让攻击者有了可乘之机，可以不经授权就可以访问某些系统数据或使用系统功能。现代化的的应用程序基本都是高度可配置化的，所以安全配置错误类漏洞会越来越多，在配置使用三方应用程序或自研应用程序时，都需要特别注意避免此类漏洞的产生。安装或使用了不必要的功能，例如服务器启用了不必要的端口、系统添加了不必要的帐户、给帐户分配了不当的权限等。在应用程序堆栈的某些部分缺少适当的安全强化，或对系统用户的权限配置不当。
服务器网站漏洞怎么修复
bocco的博客
04-25 574
服务器网站漏洞的修复是一个关键且复杂的过程，涉及到多个层面的安全加固。以下是一个关于如何修复服务器网站漏洞的详细指南。安全狗专业做服务器安全，有任何服务器安全问题都可以找安全狗哦.
漏洞修复系列：一些服务器常见漏洞的修复方法
weixin_54626591的博客
04-02 1013
一些服务器常见漏洞的修复方法
Web中间件常见漏洞总结.pdf
06-14
下面，我们将围绕文档提及的IIS中间件，总结其常见漏洞类型及修复建议。 1. IIS解析漏洞 IIS解析漏洞主要存在于IIS6.x版本中。服务器配置不当会导致解析问题，例如，当文件名包含“*”符号时，IIS服务器会忽略“*”...
express中间件当做前端服务器的安全漏洞处理
02-27
二、常见的安全漏洞 1. 跨站脚本攻击(XSS) XSS攻击发生在恶意脚本被注入到用户浏览器，从而执行攻击者的代码。为了避免这种情况，应在Express中使用如helmet的中间件，它提供了一些默认的安全设置，包括设置Content...
配置与管理WEB服务器.pptx
03-07
这包括定期更新服务器软件以修复安全漏洞，设置访问控制列表（ACLs）限制特定IP的访问，监控服务器日志以检测异常活动，以及使用备份策略来防止数据丢失。此外，还需要对服务器进行性能调优，确保在高负载下也能正常...
web中间件常见漏洞分析
08-17
Web中间件常见漏洞分析的知识点十分丰富，下面详细介绍与IIS相关的各种漏洞，包括漏洞的类型、产生的原因、影响范围以及如何进行修复。 首先，IIS，即Internet Information Services，是微软提供的基于Windows操作...
异常信息泄露 应用程序错误泄露 原理以及修复方法
it知识分享 free for nothing..
03-25 1266
异常信息泄露 应用程序错误泄露 原理以及修复方法
注意 ! !｜95% 的应用程序中发现错误配置和漏洞
分享 GPU 管理与大模型推理相关技术实践
11-18 398
在进行4300次测试后，发现95%的应用程序中都至少都有一个影响安全的漏洞或配置错误，其中高危漏洞占20%，严重漏洞则占4.5%。
windows服务器漏洞修复,三种修复Windows远程桌面服务漏洞（CVE-2019-0708）的方法
weixin_42361764的博客
08-11 7188
重要提示：该漏洞影响旧版本的Windows系统，包括：Windows7、Windows Server2008 R2、Windows Server2008、Windows 2003、WindowsXP。备注：Windows 8和Windows 10及之后版本不受此漏洞影响，勿须担心这个问题。前期准备工作：在对终端和服务器进行补丁修复之前，需要对重要资料进行备份。回退措施：终端和服务器进行补丁修复后，...
一份关于windows server服务器的安全漏洞处理建议（来自绿盟安全评估）
分享型博主
07-26 7088
文章来自一份绿盟安全评估中的服务器漏洞扫描分析结果，据市场研究公司Gartner研究报告称“实施漏洞管理的企业会避免近90%的攻击”。可以看出，及时的漏洞修补可以在一定程度上防止病毒、攻击者的威胁。这个报告是合作单位的服务器安全评估出来的，帮忙协助处理下，希望对看到的小伙伴有所帮助，有问题咱们一起讨论实践哦。
报错页面存在tomcat版本信息泄露
cxws110的博客
08-21 977
报错页面存在tomcat版本信息泄露
Tomcat隐藏版本号和报错信息（修改配置文件方式）
lililidahaoren的博客
11-01 6423
Tomcat的报错页面通常会携带Tomcat的版本号以及详细的报错信息，这些信息的暴露属于系统信息泄露的安全风险，需要进行安全风险修复。 如图所示： 网上现存的大部分方法是通过修改catalina.jar里面的ServerInfo.properties配置文件中的配置项来进行版本隐藏，这样的方式未免太过麻烦了点，于是通过研究发现了另一种比较简单的修复方案，然后发现网上好像并没有相关的记录，于是想在此分享一下。 具体配置方法为： 在conf/server.xml配置文件中的<Host>..
高级DBA带你处理Mysql数据库漏洞修复方法以及升级版本方法指南最详细全网唯一
nasen512的博客
09-21 1万+
mysql修复漏洞方法window平台以及linux平台非常详细，全网独一份，值得收藏，尤其是DBA跟运维实施必须收藏！运维工程师比如用到！
浅谈“异常信息泄露（应用程序错误）”
→_→
07-16 8545
一：漏洞名称： 未自定义统一错误页面导致信息泄露，抛出异常信息泄露，错误详情信息泄漏 AWVS漏洞名称如下： Application error message Error message on page ASP.NET error message 描述： 1.如果攻击者通过伪造包含非应用程序预期的参数或参数值的请求，来探测应用程序，那么应用程序可能会进入易受攻击的未定义状态。攻击者可以从应用程序对该请求的响应中获取有用的信息，且可利用该信息，以找出应用程序的弱点。 错误.
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值