AppScan安全测试常见Bug及修复策略

在本文档中，我们将探讨在2012年11月21日对江苏商会进行的安全测试过程中发现的一些常见漏洞及其解决方案，这些问题主要集中在Web应用程序安全测试中，使用的是AppScan工具。以下是五个关键问题及其处理策略： 1. **电子邮件地址模式泄露** - 问题：应用程序中存在电子邮件地址模式，可能导致敏感信息暴露。 - 严重性：参考信息级别，可能需要在设计时避免直接在网页中显示完整的邮件地址，以减少被滥用的风险。 - 解决方案：移除或替换Web站点中的实际电子邮件地址，仅保留必要时作为参考信息。 2. **HTML注释中的敏感信息泄露** - 问题：HTML注释中隐藏的敏感数据可能被恶意解析。 - 严重性：低，但还是需要注意，应删除包含敏感信息的HTML注释。 - 解决：在代码审查中消除敏感信息，确保所有页面元素不会意外泄漏数据。 3. **跨站请求伪造 (CSRF)** - 问题：攻击者利用恶意请求冒充用户进行操作。 - 严重性：中等，建议采用双因素验证或验证用户身份。 - 解决方案：方案一包括在前端验证Session ID，确保请求来自信任源；方案二提及使用HTTP头的Referer字段进行检查，如果请求来源不合法则拒绝。 4. **会话标识未及时更新（登录时）** - 问题：登录时未正确更新会话标识，可能被攻击者利用。 - 严重性：高，强调安全性，应确保用户登录后使用新的会话。 - 解决方案：在用户登录时，清空并创建新的session，如使用`invalidate()`和清除Cookie来实现。 5. **已解密的登录请求** - 问题：登录请求未加密，使得密码明文传输，存在安全隐患。 - 严重性：中等，强调加密通信的重要性。 - 解决方案：虽然文中提到的简单替代方法不可取，正确的做法是使用HTTPS（HTTP POST方法）确保敏感信息如密码在传输过程中的加密。 总结，这篇文章提供了在AppScan安全测试中发现的问题及其针对不同类型漏洞的具体修复建议，对于开发和维护Web应用程序来说，这些安全措施至关重要。同时，它强调了开发者在处理用户输入、会话管理和通信安全时应该采取的严谨态度和最佳实践。