一、关闭swagger
1、关闭swagger v3
# 需同时设置auto-startup=false,否则/v3/api-docs等接口仍能继续访问
springfox:
documentation:
enabled: false
auto-startup: false
swagger-ui:
enabled: false
2、关闭swagger v2
# 只要不是true就不启用
swagger:
enable: false
# 如不起作用,查看项目中的config,是否配置开关
@Configuration
@EnableSwagger2
@ConditionalOnProperty(name = "swagger.enable", havingValue = "true")
public class SwaggerConfig {
@Bean
public Docket createRestApi() {
return new Docket(DocumentationType.SWAGGER_2)
.apiInfo(apiInfo())
.select()
.apis(RequestHandlerSelectors.basePackage("com.xxx.controller"))
.paths(PathSelectors.any())
.build();
}
//构建 api文档的详细信息函数,注意这里的注解引用的是哪个
private ApiInfo apiInfo() {
return new ApiInfoBuilder()
.title("Swagger2 构建RESTful API")
.description("API 描述")
.contact(new Contact("xx", "", "[email protected]"))
.version("1.0")
.build();
}
}
二、关闭SpringBoot actuator
management.endpoints.enabled-by-default = false
三、HTTP头信息泄露
为了隐藏这些不必要的头信息,有各种可能的方法:
1.如果是经源代码编译而来的,可改源代码中的版本信息,具有一定的难度;
2.通过配置对版本信息进行修改或者不显示,达到以假乱真的目的,比较简单;
3.在服务器前加上反向代理软件,过滤掉这些会显示服务器版本信息的头,有些复杂。
以下主要就第2种方法,分别介绍一下常用的Web服务器如何去掉或修改Server头信息。
1>.Apache Web服务器版本号隐藏
# 找到配置文件apache2.conf或httpd.conf,修改其中的标记为:
ServerTokens ProductOnly
ServerSignature Off
# 重启apache服务
# curl -I localhost
HTTP/1.1 200 OK
Server: Apache
Accept-Ranges: bytes
Content-Length: 97
Connection: close
Content-Type: text/html
2>.Nginx服务器版本号隐藏
# 修改nginx.conf
# 在其中的http节加上server_tokens off;
http {
……省略配置
sendfile on;
tcp_nopush on;
keepalive_timeout 65;
tcp_nodelay on;
server_tokens off;
…….省略配置
}
# 重启Nginx后测试
四、敏感信息明文传输
1.网站负责人将网站地址提交到Gworg进行SSL证书认证。
2.然后将SSL证书配置到网站,并且开启强制HTTPS访问。
3.查看网站源码是否存在http地址调用的资源,例如:图片、视频、CSS、JS代码等,将这些代码地址改成https或者下载到本地网站服务器调用。
4.对于敏感信息,例如密码、秘钥进行加密;例如:前端md5加密传给服务端,服务端再次md5加密存入数据库;
五、重放攻击
短信轰炸
暴力破解
重放支付
如何防御
加随机数
加时间戳
加流水号
其他方法
1)挑战/应答:每次数据传输时,发送端都给接收端发送一个不同的“挑战”字串,接收端收到这个“挑战”字串后,做出相应的“应答”。
2)一次性口令:每次数据传输时,发送端都给接收端发送一个不同的“口令”,通信双方通过消息中的口令来判断消息的新鲜性。
3)页面可以编写防重复提交、后端自定义注解防止表单重复提交(RepeatableFilter);
六、敏感信息泄漏
1.不当的日志记录:如果日志文件中包含了敏感数据,比如用户密码、身份证号码等,且这些日志文件未经适当的保护,那么黑客可以随意访问这些文件来获取敏感数据
2.SQL注入攻击:如果应用程序的数据库查询语句是通过拼接字符串的方式构建的,存在SQL注入的风险。黑客可以通过输入特殊字符来修改或者获取数据库中的数据。
3.不正确的加密和解密:如果应用程序使用不安全的加密算法,或者密钥管理不当,黑客可以通过解密数据来获取敏感信息。
解决方案:
1.应用程序层面的解决方案
a. 合理使用访问控制机制:对敏感数据的访问进行严格的认证和授权,确保只有授权用户能够访问敏感数据。
b. 数据存储安全:将敏感数据以加密形式存储,确保数据在存储过程中不被黑客获取。
c. 前端安全:编写安全的前端代码,对用户输入进行有效的验证和过滤,防止恶意代码注入。
d. 安全的数据传输:使用安全的传输协议(如HTTPS)来传输敏感数据,确保数据在传输过程中不被黑客截取。
2.数据库层面的解决方案
a. 使用参数化查询或预编译语句:确保输入的数据能够正确转义,防止SQL注入攻击。
b. 数据库访问控制:对数据库的访问进行严格的认证和授权,只允许授权用户访问敏感数据。
c. 定期备份和监控数据库:确保数据库备份完整可用,及时发现和处理异常访问行为。
3.加密和解密层面的解决方案
a. 使用安全可靠的加密算法:确保加密算法足够强大,如AES、RSA等。
b. 密钥管理:妥善管理密钥,确保密钥不泄露,定期更换密钥以提高安全性。
实战:
**XssFilter **过滤sql参数;
七、账号枚举漏洞
1.对接口登录页面的判断回显提示信息修改为一致:账号或密码错误(模糊提示);不要精确报账号不存在、密码错误等提示语。
2.增加动态验证码机制,避免被探测工具批量枚举用户名。
八、CORS 信任任意来源漏洞
1 如果返回头是以下情况,那么就是高危漏洞,这种情况下漏洞最好利用:
Access-Control-Allow-Origin: https://www.attacker.com
Access-Control-Allow-Credentials: true
2 如果返回头是以下情况,那么也可以认为是高危漏洞,只是利用起来麻烦一些:
Access-Control-Allow-Origin: null
Access-Control-Allow-Credentials: true
3 如果返回以下,则不存在漏洞,因为Null必须是小写才存在漏洞:
Access-Control-Allow-Origin: Null
Access-Control-Allow-Credentials: true
4 如果返回以下,可认为不存在漏洞,因为CORS安全机制阻止了这种情况下的漏洞利用,也可以写上低危的CORS配置错误问题。
Access-Control-Allow-Origin: *
Access-Control-Allow-Credentials: true
5 如果返回以下,可认为不存在漏洞,也可以写上低危的CORS配置错误问题。
Access-Control-Allow-Origin: *
解决办法:
Access-Control-Allow-Origin中指定的来源只能是受信任的站点,避免使用Access-Control-Allow-Origin: *,避免使用Access-Control-Allow-Origin: null,否则攻击者可以伪造来源请求实现跨域资源窃取。
严格校验“Origin”值,校验的正则表达式一定要编写完善,避免出现绕过的情况。
减少“Access-Control-Allow-Methods”所允许的请求方法。
除了正确配置CORS之外,Web服务器还应继续对敏感数据进行保护,例如身份验证和会话管理等。
5.后端服务禁止使用下边代码,使用nginx代理配置跨域:
@Bean
public CorsFilter corsFilter()
{
UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
CorsConfiguration config = new CorsConfiguration();
config.setAllowCredentials(true);
// 设置访问源地址
config.addAllowedOrigin("*");
// 设置访问源请求头
config.addAllowedHeader("*");
// 设置访问源请求方法
config.addAllowedMethod("*");
// 对接口配置跨域设置
source.registerCorsConfiguration("/**", config);
return new CorsFilter(source);
}
九、未授权访问
【网络安全】常见未授权访问漏洞汇总
十、默认口令漏洞
所有中间件、组件密钥都不得使用默认,修改为复杂的随机密码;
后端对新增、修改密钥前,可以加入PasswordCheckUtil,进行复杂校验:
检测密码中字符长度
检查密码中是否包含数字
检查密码中是否包含字母(不区分大小写)
检查密码中是否包含特殊字符
键盘规则匹配器 横斜向规则检测
评估a-z,z-a这样的连续字符
评估aaaa, 1111这样的相同连续字符
检测常用词库
用户名校验(LeetSpeak字符)
版权归原作者 窦再兴 所有, 如有侵权,请联系我们删除。