webInspect SprinBoot2.x安全整改

都是基于Springboot2.x整改

一.Insecure Transport: Weak SSL Cipher
Insecure Transport: Weak SSL Cipher（11285）
Insecure Transport: Weak SSL Protocol(11516)
Insecure Transport: Weak SSL Protocol(11395)

需要进行两步操作:
1.SSL弱秘钥,升级通信协议到TLSv1.2
在application.yaml配置
server.ssl.protocol: TLSv1.2
2.修改ssl使用的Cipher算法
ciphers: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_128_GCM_SHA256

二.Password Management: Weak Password Policy（11496）
使用强密码，至少8位，有大小写，字母数字，带有特殊符号，例如#,!

三.Cookie Security: Cookie not Sent Over SSL（4720）
cookie在传输的时候要使用ssl加密
有两种情况:
1.如果用户验证使用的是spring secure
则在application.yml中配置:
server.servlet.session.cookie.secure=true
2.如果用户验证使用的是shiro,则需要在shiro的ShiroConfig中配置:

//(1)先改JSESSIONID,cookie
public DefaultWebSessionManager sessionManager() {
sessionManager.setSessionIdCookie(sessionIdCookie());
}
private SimpleCookie sessionIdCookie() {
        SimpleCookie cookie = new SimpleCookie(""JSESSIONID"");
        cookie.setHttpOnly(true);
        cookie.setSecure(true);
        return cookie;
    }
//(2)再改remenbermeCookie:
public SecurityManager securityManager() {
securityManager.setRememberMeManager(rememberMeManager());
}
    @Bean
 public SimpleCookie rememberMeCookie() {
  // 这个参数是cookie的名称，对应前端的checkbox 的name = rememberMe
  SimpleCookie simpleCookie = new SimpleCookie(""rememberMe"");
 
  simpleCookie.setSecure(true);
  return simpleCookie;
 }
  
 @Bean(name = ""cookieRememberMeManager"")
  public CookieRememberMeManager rememberMeManager() {
  CookieRememberMeManager cookieRememberMeManager = new CookieRememberMeManager();
  cookieRememberMeManager.setCookie(rememberMeCookie());
  return cookieRememberMeManager;
 }"

四.Web Server Misconfiguration: Unprotected Directory ( 4731 )
访问的URL目录中存在敏感字符，比如xx/script/xxx这种，容易给攻击提示信息，改成别的名称
五.Privacy Violation: Inconsistent Feedback ( 11418 )
意思是不能返回不同的信息，比如在验证用户登录的时候，不能提示“用户不存在”，“密码错误”等确切的错误，而是统一返回“用户名密码错误”，以免攻击通过提示信息进行测试，攻击
六.SSL证书
Often Misused: Weak SSL Certificate（11380）
Web Server Misconfiguration: SSL Certificate Hostname Discrepancy(4725)
使用正版CA授权证书
七.Cross-Site Request Forgery ( 10963 )
操作步骤如下:
"使用csrf过滤，在表单中添加token,操作步骤如下,这里使用的thymeleaf视图:
1.在表单中添加

<input th:id=""${_csrf.parameterName}"" th:name=""${_csrf.parameterName}"" th:value=""${_csrf.token}"" type=""hidden"">

2.在ajax提交的header添加

//先获取表单的值
var csrf_name = document.getElementById('csrf_token').getAttribute(""name"");
var csrf_value = document.getElementById('csrf_token').getAttribute(""value"");
//再在ajax提交的头部中添加
beforeSend: function (XMLHttpRequest) {
		         		XMLHttpRequest.setRequestHeader(csrf_name, csrf_value);
		            };

3.在springboot中配置上

@Configuration
@EnableWebSecurity
public class SecuityConfig extends WebSecurityConfigurerAdapter{

	@Override
	protected void configure(HttpSecurity http) throws Exception {
	        http.csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());
	 }
}