应用安全-Web安全-漏洞修复方案整理

修复方案参考：（三选一即可） ​ ​ （1）禁用443端口（如不需要使用该端口） （2）防火墙屏蔽对443端口的访问（或设置白名单访问策略，限制为部分IP访问该端口） （3）对SSLv3版本禁用，具体针对服务部分，可参考如下建议： 1.stunnel服务修复：/usr/sbin/stunner /etc/xensourse/xapi-ssl.conf 在xapi-ssl.conf钟compression=zlib后面加入一行 options=NO_SSLv3 重启stunnel 2.tomcat服务修复：https://www.cnblogs.com/lsdb/p/7193291.html 检测是否生效：可以是通过在线检测工具https://wosign.ssllabs.com/（外网）来进行检测；https://www.cnblogs.com/Bluesky-bk/p/10059991.html（内网） 3.apache禁用：http://www.heminjie.com/network/2132.html 4.nginx禁用：http://www.heminjie.com/network/2132.html 5.IIS禁用：https://www.daimabiji.com/serverknowledge/234.html

方案一：（推荐） 升级到 Apache Httpd 2.2.22 或更高版本。 方案二： 1.打开 httpd 的配置文件（默认为 httpd.ini），定位到 ErrorDocument400，并在后面加上一段自定义内容，如ErrorDocument400 ”error page!”。 2.保存配置文件，重启 httpd 服务后配置生效。 受影响版本：2.2.21, 2.2.20, 2.2.19, 2.2.18, 2.2.17, 2.2.16, 2.2.15, 2.2.14, 2.2.13, 2.2.12, 2.2.11, 2.2.10, 2.2.9, 2.2.8, 2.2.6, 2.2.5, 2.2.4, 2.2.3, 2.2.2, 2.2.0

删除服务器上所有的.SVN文件夹，升级SVN到1.7以上版本，严格使用导出功能，过滤/.svn/文件 

在配置文件：elasticsearch.yml中设置：script.disable_dynamic:true

禁用webdav服务

为axis2配置强密码，或只允许特定IP访问 修改Axis2默认账户名与口令，具体位置在axis2中的conf.xml文档中，修改如下两行代码。 <parameter name="userName">admin</parameter> <parameter name="password">axis2</parameter>

为Elasticsearch配置强密码，或只允许特定IP访问,参考链接：https://blog.csdn.net/qq_28429443/article/details/81167123 修复方案： 1、限制IP访问，绑定固定IP 2、在config/elasticsearch.yml中为9200端口设置认证： http.basic.enabled true #开关，开启会接管全部HTTP连接 http.basic.user "admin" #账号 http.basic.password "admin_pw" #密码 http.basic.ipwhitelist ["localhost", "127.0.0.1"] 3、 增加验证，官方推荐并且经过认证的是shield插件，该项目为收费项目，可以试用30天。网络中也有免费的插件，可以使用elasticsearch-http-basic，searchguard插件。 Shield 可以通过bin/plugin install [github-name]/[repo-name] 形式安装。 4、 使用Nginx搭建反向代理，通过配置Nginx实现对Elasticsearch的认证。 5、 如果是单台部署的Elasticsearch，9200端口不要对外开放。 6、 使用1.7.1以上的版本。在1.7.1以上版本目前还没有爆出过相关漏洞。 7、 另外elasticsearch的官方也有其他产品与Elasticsearch配合紧密的，这些产品也存在漏洞，企业如果有使用其他相关产品存在漏洞也要进行修复，如Logstash，Kibana。 8、 加强服务器安全，安装防病毒软件，使用防火墙，网站安装WAF.并对数据库,系统,后台,使用的服务设置复杂的密码,建议设置16位的大小写字母+特殊字符+数字组合。

为rsync配置强密码，或只允许特定IP访问,read_only设置为true https://help.aliyun.com/knowledge_detail/51079.html 1.修改rsync服务的默认监听端口873，参考命令：“ /usr/local/rsync/bin/rsync --port=自定义端口 --daemon” ； 2.限制登录IP，在配置文件（/etc/rsync.conf）中修改配置，找到“hosts allow= ”这一项设置可以运行访问的主机或主机段，IP间用空格隔开； 3.配置认证用户名和密码，在配置文件（/etc/rsync.conf）中修改配置，找到"auth users= "（认证用户名：独立用户）进行配置，同时对“secrets file = /etc/rsync/passwd”(用户名密码文件，建议权限设置为600)，密码文件内容格式为username:password。

仅允许特定IP访问/server-status/页面 修改httpd.conf，在最后加上server-status的配置： <IfModule status_module> <Location /server-status> SetHandler server-status Order Deny,Allow Deny from all #Allow from all </Location> </IfModule> 上面的配置指定的是禁止访问server-status，如果你想开启server-status，在Deny from all前面加上#，去掉Allow from all前面的#即可。

1） 禁用windows系统中的短文件名功能。 打开注册表并打开此目录 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlFileSystem 修改 NtfsDisable8dot3NameCreation 的值为1 。 修改完成后，需要重启系统生效。 2） Windows Server 2008 R2 查询是否开启短文件名功能：fsutil 8dot3name query 关闭该功能：fsutil 8dot3name set 1 Windows Server 2003 关闭该功能：fsutil behavior set disable8dot3 1 1) CMD关闭NTFS 8.3文件格式的支持 举例：（1代表关闭，0代表开启） Windows Server 2008 R2： 查询是否开启短文件名功能：fsutil 8dot3name query 关闭该功能：fsutil 8dot3name set 1 Windows Server 2003： 关闭该功能：fsutil behavior set disable8dot3 1 不同系统关闭命令稍有区别，该功能默认是开启的，对于大多数用户来说无需开启。 2) 修改注册表禁用短文件名功能 快捷键Win+R打开命令窗口，输入regedit打开注册表窗口 找到路径： HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlFileSystem，将其中的 NtfsDisable8dot3NameCreation这一项的值设为 1，1代表不创建短文件名格式 修改完成后，需要重启系统生效 注：此方法只能禁止NTFS8.3格式文件名创建,已经存在的文件的短文件名无法移除，需要重新复制才会消失。 以下两种方法仅适用于缓解GET 方法，其他方法依旧可以猜解。 3) 关闭Web服务扩展- ASP.NET 4) 升级netFramework至4.0以上版本

https://www.cnblogs.com/hackxf/p/8951699.html https://www.cnblogs.com/hackxf/p/8951699.html https://www.secpulse.com/archives/24298.html 1.在 ${jboss.server.home.dir}/deploy下面找到jmx-console.war目录编辑WEB-INF/web.xml文件 去掉 security-constraint 块的注释，使其起作用 2.编辑WEB-INF/classes/jmx-console-users.properties或server/default/conf/props/jmx-console-users.properties (version >=4.0.2)和 WEB-INF/classes/jmx-console-roles.properties 或server/default/conf/props/jmx-console-roles.properties(version >=4.0.2) 添加用户名密码 3.编辑WEB-INF/jboss-web.xml去掉 security-domain 块的注释 ，security-domain值的映射文件为 login-config.xml （该文件定义了登录授权方式）

https://www.cnblogs.com/liqing1009/p/6282454.html https://www.jianshu.com/p/7448708e6d73 1.改端口 2.设置登录账号（本来没有账号）