漏洞描述:
点击劫持是一种视觉上的欺骗手段。攻击者使用一个透明的、不可见的iframe,覆盖在一个网页上,然后诱使用户在该网页上进行操作,此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置,可以诱使用户恰好点击在iframe页面的一些功能性按钮上。
修复建议:
- 增加或设置HTTP头部选项X-Frame-Options值为DENY或SAMEORIGIN。
- 修复方法:
- 当出现应用访问路径存在点击劫持漏洞时候有以下两种处理方法:
- 1、,在服务器[tomcat]/conf/web.xml增加过滤器配置:
- <filter>
- <filter-name>httpHeaderSecurity</filter-name>
- <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
- <async-supported>true</async-supported>
- <init-param>
- <param-name>antiClickJackingEnabled</param-name>
- <param-value>true</param-value>
- </init-param>
- <init-param>
- <param-name>antiClickJackingOption</param-name>
- <param-value>SAMEORIGIN</param-value>
- </init-param>
- </filter>
- <filter-mapping>
- <filter-name>httpHeaderSecurity</filter-name>
- <url-pattern>/*</url-pattern>
- <dispatcher>REQUEST</dispatcher>
- </filter-mapping>
2、在应用中增加拦截器,设置响应请求头:以springboot为例,编写过滤器类实现filter接口,
public class XFrameOptionsFilter implements Filter {
private static Logger logger = LoggerFactory.getLogger(XFrameOptionsFilter.class);
private static final long serialVersionUID = 1L;
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain filterChain)
throws IOException, ServletException {
// TODO Auto-generated method stub
HttpServletResponse httpResp = (HttpServletResponse) response;
httpResp.addHeader("X-FRAME-OPTIONS","SAMEORIGIN");
filterChain.doFilter(request, httpResp);
}
}
在配置类中增加配置过滤器拦截 /* 路径,代码如下:
@Configuration
public class XssConfig{
@Bean
public FilterRegistrationBean xFrameOptionsFilterRegistrationBean(){
FilterRegistrationBean filterRegistrationBean = new FilterRegistrationBean();
filterRegistrationBean.setFilter(new XFrameOptionsFilter());
filterRegistrationBean.setOrder(0);
filterRegistrationBean.addUrlPatterns("/*");
return filterRegistrationBean;
}
}
当扫描漏洞提示:
- http://ip:port/manager/html/start
- http://ip:port/manager/html/"><script>alert("sangfor")</script>
- http://ip:port/manager/html/stop
- 处理方法:删除tomcat/webapps下的manager目录
相关推荐
web渗透: 自动化漏洞扫描 web渗透: Google Hacking web渗透: web服务器指纹识别 web渗透: 枚举web服务器应用 web渗透: 识别web应用框架 web渗透: 配置管理测试 web渗透: 身份管理测试 web渗透: 不安全的HTTP方法 web...
顾名思义,webvulnscan 是(或希望有朝一日成为)Web 应用程序的安全扫描器,其目的是自动测试,并在 MIT 许可证下获得许可。 它是用 Python 编写的(与 2.7 和 3.3 兼容)并且不需要任何外部库。特征链接和表单...
web渗透--3--自动化漏洞扫描.pdf web渗透--30--ORM注入.pdf web渗透--31--Json劫持Json注入.pdf web渗透--32--宽字节注入.pdf web渗透--33--脆弱的通信加密算法.pdf web渗透--34--Padding Oracle攻击.pdf web渗透--...
客户端:移动APP漏洞、浏览器劫持、篡改 服务器:DDos攻击、CC攻击、黑客入侵、业务欺诈、恶意内容 3、常用渗透手段(3天) 信息搜集:域名、IP、服务器信息、CDN、子域名、GOOGLE HACKING 扫描器扫描:Nmap、AWVS、...
4.2.2 Web扫描服务 52 4.2.3 WVS小工具 53 4.3 AppScan 54 4.3.1 使用AppScan扫描 55 4.3.2 处理结果 58 4.3.3 AppScan辅助工具 58 4.4 小结 61 第2篇 原理篇 第5章 SQL注入漏洞 64 5.1 SQL注入原理 64 5.2 注入漏洞...
辅助模块 第二节:wvs介绍 1.wvs向导扫描 2.web扫描服务 3.wvs小工具 第三节:appscan 1.使用appscan扫描 2.处理结果 3.appscan辅助脚本 第四节:openvas 1.openvas扫描 第四天 系统安全 系统攻击 第一节:密码破解...
辅助模块 第二节:wvs介绍 1.wvs向导扫描 2.web扫描服务 3.wvs小工具 第三节:appscan 1.使用appscan扫描 2.处理结果 3.appscan辅助脚本 第四节:openvas 1.openvas扫描 网络安全培训方案(2)全文共7页,当前为第3页...
辅助模块 第二节:wvs介绍 1.wvs向导扫描 2.web扫描服务 3.wvs小工具 第三节:appscan 1.使用appscan扫描 2.处理结果 网络安全培训方案(1)全文共14页,当前为第4页。网络安全培训方案(1)全文共14页,当前为第4页。3...
辅助模块 " " " " "第二节:wvs介绍 "1.wvs向导扫描 " " " " " "2.web扫描服务 " " " " " "3.wvs小工具 " " " " "第三节:appscan "1.使用appscan扫描 " " " " " "2.处理结果 " " " " " "3.appscan辅助脚本 " " " ...
" " " " "4、Intruder " " " " " "5、辅助模块 " " " " "第二节:wvs介绍 "1、wvs向导扫描 " " " " " "2、web扫描服务 " " " " " "3、wvs小工具 " " " " "第三节:appscan "1、使用appscan扫描 " " " " " "2...
08.Web漏洞及端口扫描之Nmap、ThreatScan和DirBuster工具; 09.社会工程学之基础概念、IP获取、IP物理定位、文件属性; 10.论文之基于机器学习算法的主机恶意代码; 11.虚拟机VMware+Kali安装入门及Sqlmap基本用法;...
在线安全检查服务 漏洞远程检测服务 漏洞在线检测:定期对网站/应用系统进行漏洞扫描,发现可能存在的安全漏洞,并提出整改建议; 木马在线检测:定期对网站/应用系统进行木马检测,发现可能的挂马行为; 可用性...
自动扫描所有Web应用程序中的常见漏洞 自动暴力破解所有开放式服务 自动测试匿名FTP访问 自动为所有Web服务运行WPScan,Arachni和Nikto 自动枚举NFS份额 自动测试匿名LDAP访问 自动枚举SSL / TLS密码,协议和...
作者:邱永华,出版社:人民邮电出版社,ISBN:9787115311047,PDF 格式,扫描版,大小 67MB。本资源带有PDF书签,方便读者朋友阅读。 内容简介: 《XSS跨站脚本攻击剖析与防御》是一本专门剖析XSS安全的专业书,...
[网络安全自学篇] 八.Web漏洞及端口扫描之Nmap、ThreatScan和DirBuster工具 [网络安全自学篇] 九.社会工程学之基础概念、IP获取、IP物理定位、文件属性 [网络安全自学篇] 十.论文之基于机器学习算法的主机恶意代码 ...
web页面直接调用工具(dirsearch、masscan、amass、patator)扫描: 自动化扫描网站的CORS配置的漏洞: 长亭X-ray漏洞扫描器: 美杜莎漏扫: w13scan: Burp插件搭配被动式漏扫使用: 应急响应 应
2010 OWASP十大安全威胁 开放式WEB应用程序安全项目(OWASP,Open Web Application Security Project)是一个组织,它提供有关计算机和互联网应用程序的公正、实际、有成本效益的信息。其目的是协助个人、企业和...