绿盟科技WEB应用漏洞扫描报告

1. 综述

1.1 任务风险概况

任务名称	扫描[http://202.201.39.48]
扫描目标	http://202.201.39.48
网络风险	风险值：10.0
插件模板	自动模板匹配
站点统计	已扫描站点数：1 未扫描站点数：0 非常危险站点数：1
信息统计	已发现链接数：1802 已扫描链接数：635 已发现文件数：1261 有漏洞文件数：365
时间统计	开始：2017-09-08 12:01:07 (UTC+08:00) 结束：2017-09-08 13:41:56 (UTC+08:00) 耗时：1小时40分钟47秒
下达任务的用户	admin
任务数据来源	本地任务
任务状态	任务完成
版本信息	系统版本：V6.0R03F01SP11 插件版本：V6.0R03F00.84
任务说明

1.2 风险分布

1.2.1 站点风险等级分布

1.2.2 高中低风险分布

1.2.3 页面风险分布

1.2.4 站点列表

站点URL	高风险	中风险	低风险	风险值
http://202.201.39.48	147	35	689	10.0

1.3 风险分类统计

1.3.1 威胁

威胁
分类名	高风险	中风险	低风险	总计
资源位置可预测	0	0	5	5
拒绝服务	0	2	0	2
本地权限提升	0	2	0	2
信息泄露	1	2	14	17
远程信息泄露	0	4	1	5
远程拒绝服务	0	2	1	3
远程执行命令	0	2	0	2
会话期限不足	0	0	1	1
其他	0	6	2	8
跨站脚本攻击	1	1	0	2
暴力猜测	0	0	1	1
过程验证不充分	0	0	1	1
内容欺骗	0	0	2	2
SQL注入	2	0	0	2

1.3.2 OWASP 2013

OWASP 2013
分类名	总计
A1-注入	2
A2-失效的身份认证和会话管理	1
A3-跨站脚本	2
A5-安全配置错误	5
A6-敏感数据泄露	17
A7-缺乏功能层次的访问控制	3
A10-未验证的重定向和跳转	1
其它未分类	22

1.3.3 OWASP 2010

OWASP 2010
分类名	总计
A1-注入	2
A2-跨站脚本	2
A3-无效的身份认证和会话管理	1
A6-安全配置错误	5
A7-不安全的加密存储	17
A8-没有限制URL访问	3
A10-未验证的重定向和转发	1
其它未分类	22

1.3.4 WASC

WASC
分类名	总计
跨站脚本攻击	2
内容欺骗	2
拒绝服务	2
过程验证不充分	1
SQL注入	2
信息泄露	17
资源位置可预测	5
暴力猜测	1
会话期限不足	1
其它未分类	20

1.3.5 风险值最高的页面Top10

页面url	风险值	高风险	低风险	总计
http://202.201.39.48/index.php/article/c17/p2.html	9.5	5	1	6
http://202.201.39.48/index.php/article/c37.mhtml	9.5	5	1	6
http://202.201.39.48/index.php/article/c36/p2.mhtml	9.5	5	1	6
http://202.201.39.48/index.php/article/c17.html	9.5	5	1	6
http://202.201.39.48/index.php/article/c36/p2.html	9.5	5	2	7
http://202.201.39.48/index.php/article/c37/p2.mhtml	9.5	5	1	6
http://202.201.39.48/index.php/article/c19.html	9.5	5	1	6
http://202.201.39.48/index.php/article/c19/p2.mhtml	9.5	5	1	6
http://202.201.39.48/index.php/article/c17/p2.mhtml	9.5	5	1	6
http://202.201.39.48/index.php/article/c19/p2.html	9.5	5	2	7

2. 漏洞列表

2.1 信息泄露类型:信息泄露

漏洞名称

出现次数

检测到目标服务器启用了TRACE方法

检测到目标站点存在git相关文件

检测到目标网站php源代码泄露

检测到目标URL存在电子邮件地址模式

检测到错误页面web应用服务器版本信息泄露

检测到目标网站存在Bash Shell历史记录文件

检测到会话cookie中缺少HttpOnly属性

检测到目标服务器存在有可直接查看文件列表的目录

检测到目标URL存在电话号码泄露

检测到目标web应用表单密码类型输入启用了自动完成操作

检测到目标源码中可能存在用户名或者密码信息泄露

检测到网站地图文件

日志信息泄露

检测到目标网站存在备份文件

检测到目标服务器可能存在系统路径信息泄露

检测到基于HTTP连接的登录请求

检测到目标URL存在内部IP地址泄露

2.2 本地权限提升

漏洞名称

出现次数

Apache HTTP Server “ap_pregsub()”函数本地权限提升漏洞

受影响站点	http://202.201.39.48
详细描述	Apache HTTP Server是Apache软件基金会的一个开放源代码的网页服务器，可以在大多数电脑操作系统中运行，由于其跨平台和安全性被广泛使用，是最流行的Web服务器端软件之一。 Apache HTTP Server在"ap_pregsub()"函数的实现上存在本地权限提升漏洞，本地攻击者可利用此漏洞以提升的权限执行任意代码。要触发此漏洞，需要启用mod_setenvif，并且攻击者可以在受影响服务器中放置恶意的.htaccess文件。此漏洞源于 "ap_pregsub()" 函数 (server/utils.c) 中的整数溢出错误，通过特制的.htaccess文件可造成堆缓冲区溢出。 <来源：halfdog 链接：http://www.halfdog.net/Security/2011/ApacheModSetEnvIfIntegerOverflow/ >
解决办法	厂商补丁： Apache Group ------------ 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://httpd.apache.org/
威胁分值	4
危险插件	否
发现日期	2011-11-08
CVE编号	CVE-2011-3607
BUGTRAQ	50494
NSFOCUS	18110
CNNVD编号	CNNVD-201111-112
CNCVE编号	CNCVE-20113607
CVSS评分	4.4
CNVD编号	CNVD-2011-4657

Apache HTTP Server 'LD_LIBRARY_PATH'不安全库加载任意代码执行漏洞

受影响站点	http://202.201.39.48
详细描述	Apache HTTP Server是Apache软件基金会的一个开放源码的网页服务器，可以在大多数计算机操作系统中运行，由于其多平台和安全性被广泛使用，是最流行的Web服务器端软件之一。 Apache HTTP Server 2.4.2之前版本内的envvars (即envvars-std)在LD_LIBRARY_PATH内放置了零长度的目录名称，通过在执行apachectl时在前工作目录内木马DSO，可允许本地用户获取权限。 <来源：Stefan Fritsch （sf@sfritsch.de）链接：http://www.securitytracker.com/id?1026932 >
解决办法	厂商补丁： Apache Group ------------ 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://www.apache.org
威胁分值	6
危险插件	否
发现日期	2012-04-18
CVE编号	CVE-2012-0883
BUGTRAQ	53046
NSFOCUS	21001
CNNVD编号	CNNVD-201204-359
CNCVE编号	CNCVE-20120883
CVSS评分	6.9
CNVD编号	CNVD-2012-1977

2.3 逻辑攻击类型:过程验证不充分

漏洞名称

出现次数

检查出可以对表单中的隐藏字段进行操纵

受影响站点	http://202.201.39.48
详细描述	隐藏字段存在于表单中。通过表单发送数据时，除了用户显式填写的数据外，还包含隐藏字段，隐藏字段采用默认值。用户填写的数据和隐藏字段数据一并发送给服务器端。由于服务器端缺乏对隐藏字段数据的检查，如果修改隐藏字段，可能造成服务器端错误的逻辑处理。
解决办法	加强字段的检查;检查用户输入的数据是否合法或者在预期的范围内。
威胁分值	1
危险插件	否
发现日期	2001-01-01

2.4 远程信息泄露

漏洞名称

出现次数

Apache HTTP Server mod_proxy反向代理模式安全限制绕过漏洞

受影响站点	http://202.201.39.48
详细描述	Apache HTTP Server是Apache软件基金会的一个开放源代码的网页服务器，可以在大多数电脑操作系统中运行，由于其跨平台和安全性被广泛使用，是最流行的Web服务器端软件之一。 Apache HTTP Server在反向代理模式中配置mod_proxy模块时错误地处理了某些Web请求，可通过特制的URL向代理后方的服务器发送请求，从而绕过某些安全限制。 <来源：Prutha Parikh 链接：http://thread.gmane.org/gmane.comp.apache.devel/46440 https://community.qualys.com/blogs/securitylabs/tags/cve-2011-4317 >
解决办法	厂商补丁： Apache Group ------------ 目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接： http://www.apache.org
威胁分值	4
危险插件	否
发现日期	2011-11-29
CVE编号	CVE-2011-4317
BUGTRAQ	50802
NSFOCUS	18229
CNNVD编号	CNNVD-201111-435
CNCVE编号	CNCVE-20114317
CVSS评分	4.3
CNVD编号	CNVD-2011-5051

Apache HTTP Server Scoreboard本地安全限制绕过漏洞

受影响站点	http://202.201.39.48
详细描述	Apache HTTP Server是Apache软件基金会的一个开放源代码的网页服务器，可以在大多数电脑操作系统中运行，由于其跨平台和安全性被广泛使用，是最流行的Web服务器端软件之一。 Apache HTTP Server中的子进程可以更改scoreboard共享内存段的内存类型记录，这会被利用造成父进程关闭时无效的释放操作，使本地攻击者可绕过某些安全限制。 <来源：halfdog 链接：http://secunia.com/advisories/47410/ >
解决办法	厂商补丁： Apache Group ------------ 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://www.apache.org
威胁分值	4
危险插件	否
发现日期	2012-01-18
CVE编号	CVE-2012-0031
BUGTRAQ	51407
NSFOCUS	18496
CNNVD编号	CNNVD-201201-165
CNCVE编号	CNCVE-20120031
CVSS评分	4.6
CNVD编号	CNVD-2012-0146

Apache mod_proxy_http模块超时处理信息泄露漏洞

受影响站点	http://202.201.39.48
详细描述	Apache HTTP Server是一款流行的Web服务器。 Apache HTTP Server的mod_proxy_http模块中的mod_proxy_http.c文件没有正确地检测超时，在某些超时情况下服务器可能返回属于其他用户的响应，导致泄漏敏感信息。仅有可触发使用代理worker池的配置才受影响。 <来源：Loren Anderson 链接：http://secunia.com/advisories/40206 3C4C12933D.4060400@apache.org%3E" target="_blank">http://mail-archives.apache.org/mod_mbox/httpd-announce/201006.mbox/%3C4C12933D.4060400@apache.org%3E >
解决办法	厂商补丁： Apache Group ------------ 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://httpd.apache.org/security/vulnerabilities_22.html
威胁分值	5
危险插件	否
发现日期	2010-06-18
CVE编号	CVE-2010-2068
BUGTRAQ	40827
NSFOCUS	15262
CNNVD编号	CNNVD-201006-315
CNCVE编号	CNCVE-20102068
CVSS评分	5.0
CNVD编号	CNVD-2010-1097

Apache HTTP Server mod_cache和mod_dav模块远程拒绝服务漏洞(CVE-2010-1452)

受影响站点	http://202.201.39.48
详细描述	Apache HTTP Server是一款流行的Web服务器。 Apache HTTP Server的mod_cache和mod_dav模块没有正确地处理没有路径段的请求，远程攻击者可以通过发送特制请求导致httpd子进程崩溃。成功利用这个漏洞要求使用了CacheIgnoreURLSessionIdentifiers配置指令和worker MPM。
解决办法	厂商补丁： Apache Group ------------ 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://httpd.apache.org/security/vulnerabilities_22.html RedHat ------ RedHat已经为此发布了一个安全公告（RHSA-2010:0659-1）以及相应补丁: RHSA-2010:0659-1：Moderate: httpd security and bug fix update 链接：https://rhn.redhat.com/errata/RHSA-2010-0659.html
威胁分值	5
危险插件	否
发现日期	2010-07-28
CVE编号	CVE-2010-1452
NSFOCUS	15510
CNNVD编号	CNNVD-201007-279
CNCVE编号	CNCVE-20101452
CVSS评分	5.0
CNVD编号	CNVD-2010-1487

Apache HTTP Server “ap_pregsub()”函数拒绝服务漏洞

受影响站点	http://202.201.39.48
详细描述	Apache HTTP Server是Apache软件基金会的一个开放源代码的网页服务器，可以在大多数电脑操作系统中运行，由于其跨平台和安全性被广泛使用，是最流行的Web服务器端软件之一。 Apache HTTP Server在"ap_pregsub()"函数的实现上存在本地拒绝服务漏洞，本地攻击者可利用此漏洞造成拒绝服务。此漏洞源于"apr_pregsub()"函数(server/utils.c)没有正确限制环境变量值的最大值，可通过特制的".htaccess"文件造成大量的内存消耗。 <来源：halfdog 链接：http://www.halfdog.net/Security/2011/ApacheModSetEnvIfIntegerOverflow/ http://www.halfdog.net/Security/2011/ApacheModSetEnvIfIntegerOverflow/DemoExploit.html >
解决办法	厂商补丁： Apache Group ------------ 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://httpd.apache.org/
威胁分值	1
危险插件	否
发现日期	2011-11-08
CVE编号	CVE-2011-4415
NSFOCUS	18164
CNNVD编号	CNNVD-201111-182
CNCVE编号	CNCVE-20114415
CVSS评分	1.2
CNVD编号	CNVD-2012-3577

2.5 授权类型:会话期限不足

漏洞名称

出现次数

发现目标存在永久性Cookie

326

受影响站点	http://202.201.39.48
详细描述	发现目标存在永久性Cookie。这可能使攻击者通过其他方式获得用户的会话凭证，这个时候，例如利用xss漏洞获得Cookie或者Session劫持就很有效了，具体分析应用程序的认证，然后使用某些技巧，甚至可以即使对方退出程序也一样永久性获得对方的身份，在未来很长时间甚至永久的控制账户。
解决办法	不要设置cookie为永久性的，修改cookie的属性expires的值，将cookie在会话关闭时则无效；或者一段时间内，过期后无效。
威胁分值	3
危险插件	否
发现日期	2013-08-01

2.6 客户端攻击类型:内容欺骗

漏洞名称

出现次数

检测到目标站点存在参数污染漏洞

受影响站点	http://202.201.39.48
详细描述	HTTP参数污染攻击指的是攻击者在请求中构造多个参数名相同的参数，由于不同的服务器端脚本语言在处理相同参数名的参数时，可能选用的参数值与参数的先后顺序有关。比如提交的请求中包含参数name=value0&name=value1, 不同的服务器端脚本语言获取到的name的值可能为value0, 也可能为value1. 攻击者可利用参数污染请求 1)硬编码HTTP请求参数 2)修改正常应用行为 3)绕过web应用防火墙的防护
解决办法	对于要求输入参数为整型的参数，校验输入参数值。对于输入参数为字符串类型的参数，校验参数值中是否包含可用于分割参数的分隔符，比如& %26等
威胁分值	2
危险插件	否
发现日期	2001-01-01

点击劫持：X-Frame-Options未配置

受影响站点	http://202.201.39.48
详细描述	点击劫持（ClickJacking）是一种视觉上的欺骗手段。攻击者使用一个透明的、不可见的iframe，覆盖在一个网页上，然后诱使用户在该网页上进行操作，此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置，可以诱使用户恰好点击在iframe页面的一些功能性按钮上。 HTTP 响应头信息中的X-Frame-Options，可以指示浏览器是否应该加载一个 iframe 中的页面。如果服务器响应头信息中没有X-Frame-Options，则该网站存在ClickJacking攻击风险。网站可以通过设置 X-Frame-Options 阻止站点内的页面被其他页面嵌入从而防止点击劫持。
解决办法	修改web服务器配置，添加X-Frame-Options响应头。赋值有如下三种： 1、DENY：不能被嵌入到任何iframe或者frame中。 2、SAMEORIGIN:页面只能被本站页面嵌入到iframe或者frame中。 3、ALLOW-FROM uri：只能被嵌入到指定域名的框架中。例如： apache可配置http.conf如下： <IfModule headers_module> Header always append X-Frame-Options "DENY" </IfModule>
威胁分值	1
危险插件	否
发现日期	2001-01-01

2.7 远程拒绝服务

漏洞名称

出现次数

Apache HTTP Server mod_proxy_ajp模块拒绝服务漏洞

受影响站点	http://202.201.39.48
详细描述	Apache HTTP Server是HTTP服务器软件之一，可通过简单的API扩展Perl/Python解释器可被编译到服务器中，完全免费，完全源代码开放。 Apache HTTP Server 2.2.12-2.2.21内的工作节点对mod_proxy_ajp模块发送过来的请求包的处理时间超过配置文件的timeout设置时，工作节点将置于错误状态，进而导致该节点拒绝服务。 <来源：vendor 链接：http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-4557 https://bugzilla.redhat.com/show_bug.cgi?id=871685 >
解决办法	厂商补丁： Apache Group ------------ 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://httpd.apache.org/security_report.html
威胁分值	5
危险插件	否
发现日期	2012-11-30
CVE编号	CVE-2012-4557
BUGTRAQ	56753
NSFOCUS	21672
CNNVD编号	CNNVD-201211-579
CNCVE编号	CNCVE-20124557
CVSS评分	5.0
CNVD编号	CNVD-2012-7210

Apache HTTP Server mod_proxy_ajp拒绝服务漏洞

受影响站点	http://202.201.39.48
详细描述	Apache HTTP Server是Apache软件基金会的一个开放源代码的网页服务器，可以在大多数电脑操作系统中运行，由于其跨平台和安全性被广泛使用，是最流行的Web服务器端软件之一。 Apache HTTP Server的mod_proxy_balancer在实现上存在安全漏洞，恶意用户可利用此漏洞造成拒绝服务。此漏洞源于结合mod_proxy_balancer使用时，mod_proxy_ajp中的畸形HTTP请求处理时的错误。通过发送特制的HTTP请求，可造成后端服务器故障，直到重试超时结束后才会结束临时DoS。 <来源：vendor 链接：http://httpd.apache.org/security/vulnerabilities_22.html#2.2.21 http://secunia.com/advisories/46013/ >
解决办法	厂商补丁： Apache Group ------------ 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://httpd.apache.org/
威胁分值	4
危险插件	否
发现日期	2011-09-20
CVE编号	CVE-2011-3348
BUGTRAQ	49616
NSFOCUS	17734
CNNVD编号	CNNVD-201109-225
CNCVE编号	CNCVE-20113348
CVSS评分	4.3
CNVD编号	CNVD-2011-3656

Apache HTTP Server 'ap_pregsub()'函数本地拒绝服务漏洞

受影响站点	http://202.201.39.48
详细描述	Apache HTTP Server是Apache软件基金会的一个开放源码的网页服务器，可以在大多数计算机操作系统中运行。 Apache HTTP Server 2.0.x至2.0.64及2.2.x至2.2.21内server/util.c中的ap_pregsub函数，在启用了mod_setenvif模块后，没有限制环境变量的值大小，通过带有特制SetEnvIf指令的.htaccess文件和HTTP请求标头，导致拒绝服务（内存破坏或空指针引用）。 <来源：halfdog 链接：http://www.halfdog.net/Security/2011/ApacheModSetEnvIfIntegerOverflow/ http://www.gossamer-threads.com/lists/apache/dev/403775 >
解决办法	厂商补丁： Apache Group ------------ 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://httpd.apache.org/download.cgi
威胁分值	1
危险插件	否
发现日期	2011-11-08
CVE编号	CVE-2011-4415
BUGTRAQ	50639
NSFOCUS	19925
CNNVD编号	CNNVD-201111-182
CNCVE编号	CNCVE-20114415
CVSS评分	1.2
CNVD编号	CNVD-2012-3577

2.8 客户端攻击类型:跨站脚本攻击

漏洞名称

出现次数

检测到目标URL存在跨站漏洞

142

受影响站点	http://202.201.39.48
详细描述	跨站脚本攻击（也称为XSS）指利用网站漏洞从用户那里恶意盗取信息。用户在浏览网站、使用即时通讯软件、甚至在阅读电子邮件时，通常会点击其中的链接。攻击者通过在链接中插入恶意代码，就能够盗取用户信息或在终端用户系统上执行恶意代码。成功的跨站脚本攻击所带来的主要问题包括：帐号劫持 - 攻击者可以在会话cookie过期之前劫持用户的会话，并以访问ULR用户的权限执行操作，如发布数据库查询并查看结果。恶意脚本执行 - 用户可能在不知情的情况下执行攻击者注入到动态生成页面中的JavaScript、VBScript、ActiveX、HTML甚至Flash内容。蠕虫传播 - 通过Ajax应用，跨站脚本可以以类似于病毒的方式传播。跨站脚本负载可以自动将其自身注入到页面中，并通过更多的跨站脚本轻易的重新注入同一主机，而所有这些都无需手动刷新页面。因此，跨站脚本可以使用复杂的HTTP方式发送多个请求，并以用户不可视的方式自我传播。信息窃取 - 攻击者可以通过重新定向和伪造站点将用户连接到攻击者所选择的恶意服务器并获得用户所输入的任何信息。拒绝服务 - 通常攻击者通过在包含有跨站脚本漏洞的站点上使用畸形的显示请求，就可以导致主机站点反复的自我查询，出现拒绝服务的情况。浏览器重新定向 - 在某些使用帧的站点上，用户可能在实际上已经被重新定向到恶意站点的情况下误导为仍处在原始站点上，因为浏览权地址栏中的URL仍保持不变。这是由于没有重新定向整个页面，而只是执行JavaScript的帧。控制用户设置 - 攻击者可以恶意更改用户设置。本漏洞属于Web应用安全常见漏洞。
解决办法	推荐措施包括实施安全编程技术确保正确过滤用户提供的数据，并编码所有用户提供的数据以防以可执行的格式向终端用户发送注入的脚本。对于开发 ======== 可通过仔细验证所有输入和正确编码所有输出来防范跨站脚本攻击。可使用标准的ASP.NET验证控件或直接在代码中实施验证，要尽可能使用严格的模版。输出编码要确保在将内容发送给客户端之前对任何可脚本化的内容都进行了正确的HTML编码。可通过HttpUtility.HtmlEncode函数实现，如以下Label控件示例所示： Label2.Text = HttpUtility.HtmlEncode(input) 要考虑用户输入通过应用可能用到的所有路径。例如，如果数据是由用户输入的，存储在数据库中，然后再重新显示，就必须要确保在每次检索的时候都能正确编码。如果必须允许自由格式文本输入（如在消息板中），而又希望允许使用一些HTML格式，则可以通过仅明确允许很小的安全标签列表来安全的处理这种情况，如下所示： C#示例： StringBuilder sb = new StringBuilder(HttpUtility.HtmlEncode(htmlInputTxt.Text)); sb.Replace("<b>", "<b>"); sb.Replace("</b>", "</b>"); sb.Replace("<i>", "<i>"); sb.Replace("</i>", "</i>"); Response.Write(sb.ToString()); VB.NET示例： Dim sb As StringBuilder = New StringBuilder( _ HttpUtility.HtmlEncode(input)); sb.Replace("<b>", "<b>"); sb.Replace("</b>", "</b>"); sb.Replace("<i>", "<i>"); sb.Replace("</i>", "</i>"); Response.Write(sb.ToString()); Java示例： public static String HTMLEncode(String aText){ final StringBuilder result = new StringBuilder(); final StringCharacterIterator iterator = new StringCharacterIterator(aText); char character = iterator.current(); while (character != CharacterIterator.DONE ){ if (character == '<') { result.append("<"); } else if (character == '>') { result.append(">"); } else if (character == '&') { result.append("&"); } else if (character == '\\"') { result.append("""); } else { //the char is not a special one //add it to the result as is result.append(character); } character = iterator.next(); } return result.toString(); } 以下建议可帮助构建能够抵御跨站脚本攻击的web应用。定义允许的内容。确保web应用对所有输入参数（cookies、头、查询字符串、表单、隐藏字段等）验证严格定义的预期结果。检查POST和GET请求的响应，确保返回内容是预期的且有效。通过编码用户提供的数据从用户输入中删除冲突字符、括号、单双引号。这可以防范以可执行的方式向终端用户发送注入的脚本。在可能的时候将所有客户端提供的数据仅限于字母数字的数据。使用这种过滤方案时，如果用户输入了<script>alert( 'aaa') </script>，就会被减少为scriptalert( 'aaa')script。如果必须使用非字母数字字符，在HTTP响应中使用之前将其编码为HTML实体，这样就无法将其用于修改HTML文档的结构。使用双重用户认证机制而不是单重认证。在修改或使用脚本之前确认其来源。在自己的代码中使用时不要明确的信任任何来自他人的脚本，无论是从web下载还是来自熟人。大多数服务器端脚本语言都提供了内嵌方式将输入变量的值转换为正确的不可解释HTML。应使用这种方式在将输入显示给客户端之前过滤所有输入。 PHP: string htmlspecialchars (string string [, int quote_style]) ASP / ASP.NET: Server.HTMLEncode (strHTML String) 对于安全操作 ============ 服务器端编码指的是首先通过编码函数发送所有的动态内容，使用所选择字符集中的代码替换Scripting标签，这可以帮助防范跨站脚本攻击。服务器端编码的缺点是可能耗费资源，对一些web服务器的性能产生负面影响。如果必须允许站点用户使用HTML标签，如允许用户使用的格式化标签的公告栏，则应限制可使用的标签。创建可接受标签的列表，如粗体字、斜体字或下划线，并仅允许使用这些，拒绝任何其他标签。以下是一些可帮助检测跨站脚本的正则表达式。简单跨站脚本攻击的正则表达式： /((\%3C)\|<)((\%2F)\|\/)[a-z0-9\%]+((\%3E)\|>)/ix 应如下将上述正则表达式添加到新的Snort规则： alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"NIICross-Site Scripting attempt"; flow:to_server,established;pcre:"/((\%3C)\|<)((\%2F)\|\/)[a-z0-9\%]+((\%3E)\|>)/i";classtype:Web-application-attack; sid:9000; rev:5;) 跨站脚本攻击的偏执行正则表达式： /((\%3C)\|<)[^\n]+((\%3E)\|>)/I 这条特征仅仅查找起始的HTML标签及其对等的16进制，之后的一个或多个字符为非换行符，再之后为结尾标签或其对等的16进制。这可能导致一些误报，具体取决于Web应用和Web服务器的架构。但这种方式可以确保捕获任何攻击，甚至远程类似的跨站脚本攻击。对于公众方面，可以加强教育程序，帮助用户防范可用于帐号劫持和其他形式身份窃取的在线欺诈，如网络钓鱼。对于质量保证 ============ 修复跨站脚本漏洞最终要求基于代码的修复。“对于开发”和“对于安全操作”部分所述步骤可为开发人员提供修复这些问题所需的信息。以下步骤概括了如何对应用程序手动测试跨站脚本。步骤1. 在浏览器中打开任意Web站点，查找可接受用户输入的位置，如搜索表单或某些登录页面。在搜索框中输入test并发送给Web服务器。步骤2. 寻找返回类似于Your search for 'test' did not find any items或Invalid login test页面的WEB服务器。如果结果页面中出现了test，请继续。步骤3. 如果要测试跨站脚本，在之前使用的同一搜索或登录框中输入<script>alert('hello')</script>字符串并发送给Web服务器。步骤4. 如果服务器所响应的弹出框显示hello，则站点受跨站脚本影响。步骤5. 即使步骤4失败，站点没有返回这条信息，仍可能存在风险。在浏览器中点击“查看源码”选项，查看Web页面的实际HTML代码。现在查找发送给服务器的<script>字符串，如果在源码中看到整个<script>alert('hello')</script>文本，则Web服务器受跨站脚本的影响。
威胁分值	10
危险插件	否
发现日期	2001-01-01

Microsoft Windows MHTML脚本代码注入漏洞（MS11-026）

受影响站点	http://202.201.39.48
详细描述	Microsoft Windows是微软发布的非常流行的操作系统。 Microsoft Windows使用MHTML时存在安全漏洞，远程攻击者可利用此漏洞将任意脚本代码注入到当前浏览器会话，获取敏感信息，欺骗内容或在目标网站执行任意操作。此漏洞源于MHTML解释MIME格式请求文档中内容块的方式。在某些情况下，此漏洞可能会允许攻击者在运行在受害者IE中的Web请求的响应中注入客户端脚本。该脚本可欺骗内容、泄露信息或以目标用户身份在受影响站点进行攻击。
解决办法	服务器端过滤参数中的回车换行。
威胁分值	6
危险插件	否
发现日期	2011-01-28
CVE编号	CVE-2011-0096
BUGTRAQ	46055
NSFOCUS	16382
CNNVD编号	CNNVD-201101-419
CNCVE编号	CNCVE-20110096
CVSS评分	4.3
CNVD编号	CNVD-2011-03961

2.9 信息泄露类型:资源位置可预测

漏洞名称

出现次数

检测到目标可能存在账号信息文件

受影响站点	http://202.201.39.48
详细描述	本次扫描通过检查文件存在来判断漏洞,请确认这些文件是否包含敏感信息。检测到目标网站存在账户配置文件。这些文件有可能包含敏感信息，攻击者如果可以访问这些敏感信息，可以根据文件中包含的信息进行其他攻击。
解决办法	限制这些文件的访问或者删除这些文件。
威胁分值	1
危险插件	否
发现日期	2001-01-01

检测到目标站点存在SVN相关文件

受影响站点	http://202.201.39.48
详细描述	svn是开发人员用于管理代码开发的版本控制工具。 svn工具会在受版本控制的文件或目录下自动创建.svn目录，用于文档管理。svn创建的文件或者目录包含被管理文件的历史信息，如svn库的路径，有权限修改文件或者目录的用户，修改历史，源代码等敏感信息。如果svn创建的文件或者目录包含在www服务可访问的路径，造成敏感内容泄漏。
解决办法	www服务可访问到的目录下删除.svn目录。修改www服务配置文件，禁止访问.svn目录及其子目录。
威胁分值	3
危险插件	否
发现日期	2001-01-01

检测到管理后台登录入口

受影响站点	http://202.201.39.48
详细描述	检查到目标应用的后台登录入口。管理员应用程序一般用于网站的后台管理，具有全部的权限。这些应用程序可能包含一些敏感信息或具有较低的安全保护，攻击者可以通过该文件获取敏感信息或者进入网站后台，进行恶意操作。
解决办法	加强访问此类文件的认证和使用安全。如果不需要此类文件，请删除。修改为不可预测的文件名。
威胁分值	1
危险插件	否
发现日期	2001-01-01

检测到目标服务器上存在web应用默认目录

受影响站点	http://202.201.39.48
详细描述	web应用架构中的目录都采用常见的目录名。如图片目录images,javascript目录js,不同的目录潜在的危险是不同的。攻击者一般利用常见目录中可能包含的敏感文件获取敏感信息。本漏洞属于Web应用安全常见漏洞。
解决办法	如果不需要这些目录，可以删除此类目录；或者严格限制目录的访问权限。
威胁分值	1
危险插件	否
发现日期	2001-01-01

检测到目标网站存在上传下载相关的目录和文件

受影响站点	http://202.201.39.48
详细描述	检测到目标网站存在上传下载相关的目录和文件。上传目录一般具有可写权限。攻击者可以预测文件上传的路径，便于和目标站点的其他漏洞攻击结合攻击目标服务器。
解决办法	检查此类目录的访问权限。如果不需要这些目录，建议删除。
威胁分值	1
危险插件	否
发现日期	2001-01-01

2.10 远程执行命令

漏洞名称

出现次数

Apache HTTP Server日志内终端转义序列命令注入漏洞(CVE-2013-1862)

受影响站点	http://202.201.39.48
详细描述	此漏洞通过版本检测，在源码patch和服务器没有加载mod_rewrite的情况下可能误报。 Apache HTTP Server是开源HTTP服务器。 Apache HTTP Server mod_rewrite向日志文件写入数据时，没有过滤不能打印的字符。如果 mod_rewrite 使用了指令RewriteLog，远程攻击者可利用此漏洞向日志文件写入终端转义序列。如果HTTP请求包含终端模拟器的转义序列，此漏洞也可造成任意命令执行。 <来源：Joe Orton 链接：https://bugzilla.redhat.com/show_bug.cgi?id=953729 >
解决办法	厂商补丁： Apache Group ------------ 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://httpd.apache.org/ http://people.apache.org/~jorton/mod_rewrite-CVE-2013-1862.patch
威胁分值	5
危险插件	否
发现日期	2013-06-10
CVE编号	CVE-2013-1862
BUGTRAQ	59826
NSFOCUS	23664
CNNVD编号	CNNVD-201305-234
CNCVE编号	CNCVE-20131862
CVSS评分	5.1
CNVD编号	CNVD-2013-05346

Apache HTTP Server balancer_handler函数跨站脚本漏洞

受影响站点	http://202.201.39.48
详细描述	Apache HTTP Server是开源HTTP服务器。 Apache HTTP Server被报告存在多个漏洞，攻击者能利用这些漏洞进行跨站脚本攻击。 1）mod_info, mod_ldap, mod_status, mod_imagemap, 以及mod_proxy_ftp模块中某些与hostnames和URI相关的输入没有经过正确的检查即返回给用户。 2）传递给mod_proxy_balancer模块管理接口的某些不确定输入没有经过正确检查即返回给用户。这些漏洞可能被恶意攻击者用来在受影响的网站上下文中插入代码，从而在用户浏览器会话中执行任意HTML和脚本代码。漏洞影响 2.2.24之前的版本以及2.4.4。 <来源：Jim Jagielski Stefan Fritsch Niels Heinen 链接：http://secunia.com/advisories/52394/ >
解决办法	厂商补丁： Apache Group ------------ 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://httpd.apache.org/
威胁分值	4
危险插件	否
发现日期	2013-02-26
CVE编号	CVE-2012-4558
BUGTRAQ	58165
NSFOCUS	22772
CNNVD编号	CNNVD-201302-521
CNCVE编号	CNCVE-20124558
CVSS评分	4.3
CNVD编号	CNVD-2013-01298

2.11 逻辑攻击类型:拒绝服务

漏洞名称

出现次数

PHP Web表单哈希冲突拒绝服务漏洞

受影响站点	http://202.201.39.48
详细描述	PHP是英文超级文本预处理语言。 PHP 5.3.9之前版本在计算表单参数哈希值的实现上没有提前限制哈希冲突，存在拒绝服务漏洞，通过发送小量的特制webform表单张贴到受影响应用程序，攻击者可利用此漏洞导致使用PHP的站点失去响应正常请求的能力。
解决办法	厂商补丁： PHP --- 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://www.php.net
威胁分值	6
危险插件	否
发现日期	2011-12-29
CVE编号	CVE-2011-4885
BUGTRAQ	51193
NSFOCUS	18415
CNNVD编号	CNNVD-201112-492
CNCVE编号	CNCVE-20114885
CVSS评分	5.0

检测到目标主机可能存在缓慢的http拒绝服务攻击

受影响站点	http://202.201.39.48
详细描述	缓慢的http拒绝服务攻击是一种专门针对于Web的应用层拒绝服务攻击，攻击者操纵网络上的肉鸡，对目标Web服务器进行海量http request攻击，直到服务器带宽被打满，造成了拒绝服务。慢速HTTP拒绝服务攻击经过不断的演变和发展，主要有三种攻击类型，分别是Slow headers、Slow body、Slow read。以Slow headers为例，Web应用在处理HTTP请求之前都要先接收完所有的HTTP头部，因为HTTP头部中包含了一些Web应用可能用到的重要的信息。攻击者利用这点，发起一个HTTP请求，一直不停的发送HTTP头部，消耗服务器的连接和内存资源。抓包数据可见，攻击客户端与服务器建立TCP连接后，每40秒才向服务器发送一个HTTP头部，而Web服务器再没接收到2个连续的\r\n时，会认为客户端没有发送完头部，而持续的等等客户端发送数据。如果恶意攻击者客户端持续建立这样的连接，那么服务器上可用的连接将一点一点被占满，从而导致拒绝服务。这种攻击类型称为慢速HTTP拒绝服务攻击。
解决办法	针对不同的Server其对慢速http拒绝服务攻击防范方法也不同，建议使用以下措施防范慢速http拒绝服务攻击： WebSphere ======== 1、限制 HTTP 数据的大小在WebSphere Application Server 中进行如下设置：任何单个 HTTP 头的默认最大大小为 32768 字节。可以将它设置为不同的值。 HTTP 头的默认最大数量为 50。可以将它设置为不同的限制值。另一种常见的 DOS 攻击是发送一个请求，这个请求会导致一个长期运行的 GET 请求。WebSphere Application Server Plug-in 中的 ServerIOTimeoutRetry 属性可限制任何请求的重试数量。这可以降低这种长期运行的请求的影响。设置限制任何请求正文的最大大小。详见参考链接。 2、设置keepalive参数打开ibm http server安装目录，打开文件夹conf，打开文件httpd.conf,查找KeepAlive值，改ON为OFF,其默认为ON。这个值说明是否保持客户与HTTP SERVER的连接，如果设置为ON，则请求数到达MaxKeepAliveRequests设定值时请求将排队，导致响应变慢。 Weblogic ============ 1、在配置管理界面中的协议->一般信息下设置完成消息超时时间小于400 2、在配置管理界面中的协议->HTTP下设置 POST 超时、持续时间、最大 POST 大小为安全值范围。 Nginx ============ 1、通过调整$request_method，配置服务器接受http包的操作限制； 2、在保证业务不受影响的前提下，调整client_max_body_size, client_body_buffer_size, client_header_buffer_size,large_client_header_buffersclient_body_timeout, client_header_timeout的值，必要时可以适当的增加； 3、对于会话或者相同的ip地址，可以使用HttpLimitReqModule and HttpLimitZoneModule参数去限制请求量或者并发连接数； 4、根据CPU和负载的大小，来配置worker_processes 和 worker_connections的值，公式是：max_clients = worker_processes * worker_connections。 Apache ============ 建议使用mod_reqtimeout和mod_qos两个模块相互配合来防护。 1、mod_reqtimeout用于控制每个连接上请求发送的速率。配置例如： #请求头部分，设置超时时间初始为10秒，并在收到客户端发送的数据后，每接收到500字节数据就将超时时间延长1秒，但最长不超过40秒。可以防护slowloris型的慢速攻击。 RequestReadTimeout header=10-40,minrate=500 #请求正文部分，设置超时时间初始为10秒，并在收到客户端发送的数据后，每接收到500字节数据就将超时时间延长1秒，但最长不超过40秒。可以防护slow message body型的慢速攻击。 RequestReadTimeout body=10-40,minrate=500 需注意，对于HTTPS站点，需要把初始超时时间上调，比如调整到20秒。 2、mod_qos用于控制并发连接数。配置例如： # 当服务器并发连接数超过600时，关闭keepalive QS_SrvMaxConnClose 600 # 限制每个源IP最大并发连接数为50 QS_SrvMaxConnPerIP 50 这两个数值可以根据服务器的性能调整。 IHS服务器 ============ 请您先安装最新补丁包，然后启用mod_reqtimeout模块，在配置文件中加入： LoadModule reqtimeout_module modules/mod_reqtimeout.so 为mod_reqtimeout模块添加配置： <IfModule mod_reqtimeout.c> RequestReadTimeout header=10-40,MinRate=500 body=10-40,MinRate=500 </IfModule> 对于HTTPS站点，建议header=20-40,MinRate=500。参见：http://www-01.ibm.com/support/docview.wss?uid=swg21652165 F5负载均衡修复建议 ============ F5负载均衡设备有相应的防护模块，如无购买可参考附件中的详细配置过程。关于F5的慢速攻击防护配置，请参考以下链接： https://support.f5.com/kb/en-us/solutions/public/10000/200/sol10260.html https://devcentral.f5.com/articles/mitigating-slow-http-post-ddos-attacks-with-irules-ndash-follow-up
威胁分值	6
危险插件	否
发现日期	2011-07-07

2.12 其他

漏洞名称

出现次数

Apache Portable Runtime和HTTP Server 'fnmatch()'栈消耗漏洞(CVE-2011-0419)

受影响站点	http://202.201.39.48
详细描述	APR(Apache portable Run-time libraries，Apache可移植运行库)的目的如其名称一样，主要为上层的应用程序提供一个可以跨越多操作系统平台使用的底层支持接口库。NetBSD是一款免费开放源代码的UNIX操作系统。 Apache Portable Runtime (APR)库1.4.3之前版本，Apache HTTP Server 2.2.18之前版本的apr_fnmatch.c中存在栈消耗漏洞。该漏洞是由于“fnmatch()”函数的实现没有正确限制它的递归调用，远程攻击者可以借助first参数中的*?序列导致拒绝服务（CPU和内存消耗）。
解决办法	目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接： http://httpd.apache.org/download.cgi#apache22
威胁分值	4
危险插件	否
发现日期	2011-05-16
CVE编号	CVE-2011-0419
BUGTRAQ	47820
NSFOCUS	18178
CNNVD编号	CNNVD-201105-160
CNCVE编号	CNCVE-20110419
CVSS评分	4.3
CNVD编号	CNVD-2011-1859

Apache HTTP Server远程拒绝服务漏洞(CVE-2013-1896)

受影响站点	http://202.201.39.48
详细描述	Apache HTTP Server是开源HTTP服务器。 Apache HTTP Server 2.2.25之前版本的mod_dav.c没有正确确定是否启用了某个URI的DAV，该URI配置为由mod_dav_svn模块处理，但XML数据内的某个href属性引用的是非DAV URI。远程攻击者通过MERGE请求可造成拒绝服务（段错误）。
解决办法	Apache Group ------------ Apache Group已经为此发布了一个安全公告（Announcement 2.2）以及相应补丁: Announcement 2.2：Apache HTTP Server 2.2.25 Released 链接：http://www.apache.org/dist/httpd/Announcement2.2.html 补丁下载：http://httpd.apache.org/download.cgi
威胁分值	4
危险插件	否
发现日期	2013-07-10
CVE编号	CVE-2013-1896
BUGTRAQ	61129
NSFOCUS	24109
CNNVD编号	CNNVD-201307-210
CNCVE编号	CNCVE-20131896
CVSS评分	4.3

Apache HTTP Server多个模块主机名和URI跨站脚本漏洞(CVE-2012-3499)

受影响站点	http://202.201.39.48
详细描述	Apache HTTP Server是开源HTTP服务器。 Apache HTTP Server 2.4.4及之前版本在实现上存在多个XSS漏洞，通过模块(1) mod_imagemap, (2) mod_info, (3) mod_ldap, (4) mod_proxy_ftp, (5) mod_status内的主机名和URI，远程攻击者可利用此漏洞注入任意js脚本和HTML。
解决办法	Apache Group ------------ 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://httpd.apache.org/
威胁分值	4
危险插件	否
发现日期	2013-02-26
CVE编号	CVE-2012-3499
BUGTRAQ	58165
NSFOCUS	22756
CNNVD编号	CNNVD-201302-520
CNCVE编号	CNCVE-20123499
CVSS评分	4.3
CNVD编号	CNVD-2013-01297

Apache HTTP Server mod_lua模块输入验证漏洞(CVE-2015-0228)

受影响站点	http://202.201.39.48
详细描述	Apache HTTP Server是美国阿帕奇（Apache）软件基金会的一款开源网页服务器。该服务器具有快速、可靠且可通过简单的API进行扩充的特点。 Apache HTTP Server 2.4.12及之前版本的mod_lua模块中的lua_request.c文件中的‘lua_websocket_read’函数存在安全漏洞。远程攻击者可通过在Lua脚本调用wsupgrade函数后发送特制的WebSocket Ping帧利用该漏洞造成拒绝服务（child-process崩溃）。
解决办法	目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接： http://httpd.apache.org/ http://svn.apache.org/repos/asf/httpd/httpd/branches/2.4.x/CHANGES
威胁分值	5
危险插件	否
发现日期	2015-03-07
CVE编号	CVE-2015-0228
NSFOCUS	29534
CNNVD编号	CNNVD-201503-136
CNCVE编号	CNCVE-20150228
CVSS评分	5.0
CNVD编号	CNVD-2015-01691

Apache HTTP Server多个拒绝服务漏洞(CVE-2013-6438)

受影响站点	http://202.201.39.48
详细描述	Apache HTTP Server是开源HTTP服务器。 Apache HTTP Server 2.4.7, 2.4.6, 2.4.4, 2.4.3, 2.4.2, 2.4.1在实现上存在安全漏洞，可被恶意利用造成拒绝服务。 1、记录截断cookie时，mod_log_config模块存在错误，可被利用造成工作线程崩溃。要成功利用此漏洞需要使用线程化MPM。 2、删除前导空格时，mod_dav模块存在边界错误，可被利用通过特制的DAV WRITE请求破坏内存。 <来源：Rainer M Canavan Ning Zhang Amin Tora 链接：http://secunia.com/advisories/57399/ >
解决办法	厂商补丁： Apache Group ------------ 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://httpd.apache.org/ http://www.apache.org/dist/httpd/CHANGES_2.4.9 http://httpd.apache.org/security/vulnerabilities_24.html
威胁分值	5
危险插件	否
发现日期	2014-03-18
CVE编号	CVE-2013-6438
NSFOCUS	26294
CNNVD编号	CNNVD-201403-332
CNCVE编号	CNCVE-20136438
CVSS评分	5.0
CNVD编号	CNVD-2014-01874

Apache HTTP Server多个拒绝服务漏洞(CVE-2014-0098)

受影响站点	http://202.201.39.48
详细描述	Apache HTTP Server是开源HTTP服务器。 Apache HTTP Server 2.4.7, 2.4.6, 2.4.4, 2.4.3, 2.4.2, 2.4.1在实现上存在安全漏洞，可被恶意利用造成拒绝服务。 1、记录截断cookie时，mod_log_config模块存在错误，可被利用造成工作线程崩溃。要成功利用此漏洞需要使用线程化MPM。 2、删除前导空格时，mod_dav模块存在边界错误，可被利用通过特制的DAV WRITE请求破坏内存。 <来源：Rainer M Canavan Ning Zhang Amin Tora 链接：http://secunia.com/advisories/57399/ >
解决办法	厂商补丁： Apache Group ------------ 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://httpd.apache.org/ http://www.apache.org/dist/httpd/CHANGES_2.4.9 http://httpd.apache.org/security/vulnerabilities_24.html
威胁分值	5
危险插件	否
发现日期	2014-03-18
CVE编号	CVE-2014-0098
NSFOCUS	26294
CNNVD编号	CNNVD-201403-333
CNCVE编号	CNCVE-20140098
CVSS评分	5.0
CNVD编号	CNVD-2014-01853

检测到目标网站存在无效链接

受影响站点	http://202.201.39.48
详细描述	无效链接是指存在于页面中，但其指向的资源已经不存在。本漏洞属于Web应用安全常见漏洞。
解决办法
威胁分值	1
危险插件	否
发现日期	2001-01-01

phpMyAdmin import.php 跨站脚本漏洞(CVE-2014-1879)

受影响站点	http://202.201.39.48
详细描述	phpMyAdmin是phpMyAdmin团队开发的一套免费的、基于Web的MySQL数据库管理工具。该工具能够创建和删除数据库，创建、删除、修改数据库表，执行SQL脚本命令等。 phpMyAdmin 4.1.6及之前的版本中的import.php脚本存在跨站脚本漏洞。当执行导入操作时，远程攻击者可借助特制的文件名利用该漏洞注入任意Web脚本或HTML。
解决办法	目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接： http://www.phpmyadmin.net/home_page/security/PMASA-2014-1.php
威胁分值	3
危险插件	否
发现日期	2014-02-20
CVE编号	CVE-2014-1879
CNNVD编号	CNNVD-201402-281
CNCVE编号	CNCVE-20141879
CVSS评分	3.5
CNVD编号	CNVD-2014-01178

2.13 认证类型:暴力猜测

漏洞名称

出现次数

检测出目标web应用表单存在口令猜测攻击

受影响站点	http://202.201.39.48
详细描述	暴力破解是一种常见的弱口令猜测攻击方式，通过由字母、数字、字符组成的每一种不同组合进行口令猜测直到发现正确的口令。如果登录页面对密码猜测攻击没有任何防护措施，攻击者可以采用暴力枚举的方式破解用户口令。
解决办法	1、建议限制用户错误登录的次数，当超过错误登录次数，锁定该账户。
威胁分值	3
危险插件	否
发现日期	2001-01-01

2.14 命令执行类型:SQL注入

漏洞名称

出现次数

检测到目标URL存在COOKIE注入漏洞

受影响站点	http://202.201.39.48
详细描述	本漏洞属于Web应用安全中的常见漏洞，属于OWASP TOP 10 （2007）中的注入类漏洞。很多WEB应用中都存在SQL注入漏洞。根据注入点的不同，分为来自Cookie，Header，Get,Post的注入类型，Cookie属于sql注入的一种，攻击很大程度上取决于攻击者使用从错误消息所获得信息。但是，即使没有显示错误消息应用程序仍可能受COOKIE注入的影响。总体上讲，COOKIE注入是对web应用而不是对web服务器或操作系统本身的攻击。正如其名称所示，COOKIE注入是对查询添加非预期SQL命令从而以数据库管理员或开发人员非预期的方式操控数据库的行为。如果成功的话，就可以获得、修改、注入或删除有漏洞web应用所使用数据库服务器的数据。在某些环境下，可利用COOKIE注入完全控制系统。
解决办法	防护建议包括部署分层安全措施（包括在接受用户输入时使用参数化的查询）、确保应用程序仅使用预期的数据、加固数据库服务器防止不恰当的访问数据。建议使用以下措施防范COOKIE注入漏洞：对于开发 ======== 使用以下建议编写不受COOKIE注入攻击影响的web应用。参数化查询：COOKIE注入源于攻击者控制查询数据以修改查询逻辑，因此防范SQL注入攻击的最佳方式就是将查询的逻辑与其数据分隔，这可以防止执行从用户输入所注入的命令。这种方式的缺陷是可能对性能产生影响（但影响很小），且必须以这种方式构建站点上的每个查询才能完全有效。只要无意中绕过了一个查询，就足以导致应用受COOKIE注入的影响。以下代码显示的是可以进行COOKIE注入的COOKIE语句示例: $name=$_COOKIE['name']; $sql="select * from tables where name='$name'"; 下面的例子使用了参数化的查询，不受SQL注入攻击的影响 $name=$_COOKIE['name']; $mysqli=new mysqli("localhost", "user", "pass", "database"); $stmt=$mysqli->prepare("select * from tables where name=?"); $stmt->bind_param("s", $name); $stmt->execute();
威胁分值	10
危险插件	否
发现日期	2001-01-01

检测到目标URL存在SQL注入漏洞

受影响站点	http://202.201.39.48
详细描述	本漏洞属于Web应用安全中的常见漏洞，属于OWASP TOP 10 （2007）中的注入类漏洞。很多WEB应用中都存在SQL注入漏洞。SQL注入是一种攻击者利用代码缺陷进行攻击的方式，可在任何能够影响数据库查询的应用程序参数中利用。例如url本身的参数、post数据或cookie值。正常的SQL注入攻击很大程度上取决于攻击者使用从错误消息所获得信息。但是，即使没有显示错误消息应用程序仍可能受SQL注入的影响。总体上讲，SQL注入是对web应用而不是对web服务器或操作系统本身的攻击。正如其名称所示，SQL注入是对查询添加非预期SQL命令从而以数据库管理员或开发人员非预期的方式操控数据库的行为。如果成功的话，就可以获得、修改、注入或删除有漏洞web应用所使用数据库服务器的数据。在某些环境下，可利用SQL注入完全控制系统。
解决办法	防护建议包括部署分层安全措施（包括在接受用户输入时使用参数化的查询）、确保应用程序仅使用预期的数据、加固数据库服务器防止不恰当的访问数据。建议使用以下措施防范SQL注入漏洞：对于开发 ======== 使用以下建议编写不受SQL注入攻击影响的web应用。参数化查询：SQL注入源于攻击者控制查询数据以修改查询逻辑，因此防范SQL注入攻击的最佳方式就是将查询的逻辑与其数据分隔，这可以防止执行从用户输入所注入的命令。这种方式的缺陷是可能对性能产生影响（但影响很小），且必须以这种方式构建站点上的每个查询才能完全有效。只要无意中绕过了一个查询，就足以导致应用受SQL注入的影响。以下代码显示的是可以进行SQL注入的SQL语句示例。 sSql = "SELECT LocationName FROM Locations "; sSql = sSql + " WHERE LocationID = " + Request["LocationID"]; oCmd.CommandText = sSql; 下面的例子使用了参数化的查询，不受SQL注入攻击的影响。 sSql = "SELECT * FROM Locations "; sSql = sSql + " WHERE LocationID = @LocationID"; oCmd.CommandText = sSql; oCmd.Parameters.Add("@LocationID", Request["LocationID"]); 应用程序没有包含用户输入向服务器发送SQL语句，而是使用-@LocationID-参数替代该输入，这样用户输入就无法成为SQL执行的命令。这种方式可以有效的拒绝攻击者所注入的任何输入，尽管仍会生成错误，但仅为数据类型转换错误，而不是黑客可以利用的错误。以下代码示例显示从HTTP查询字符串中获得产品ID并使用到SQL查询中。请注意传送给SqlCommand的包含有SELECT的字符串仅仅是个静态字符串，不是从输入中截取的。此外还请注意使用SqlParameter对象传送输入参数的方式，该对象的名称（@pid）匹配SQL查询中所使用的名称。 C#示例： string connString = WebConfigurationManager.ConnectionStrings["myConn"].ConnectionString; using (SqlConnection conn = new SqlConnection(connString)) { conn.Open(); SqlCommand cmd = new SqlCommand("SELECT Count() FROM Products WHERE ProdID=@pid", conn); SqlParameter prm = new SqlParameter("@pid", SqlDbType.VarChar, 50); prm.Value = Request.QueryString["pid"]; cmd.Parameters.Add(prm); int recCount = (int)cmd.ExecuteScalar(); } VB.NET示例： Dim connString As String = WebConfigurationManager.ConnectionStrings("myConn").ConnectionString Using conn As New SqlConnection(connString) conn.Open() Dim cmd As SqlCommand = New SqlCommand("SELECT Count() FROM Products WHERE ProdID=@pid", conn) Dim prm As SqlParameter = New SqlParameter("@pid", SqlDbType.VarChar, 50) prm.Value = Request.QueryString("pid") cmd.Parameters.Add(prm) Dim recCount As Integer = cmd.ExecuteScalar() End Using 验证输入：可通过正确验证用户输入的类型和格式防范大多数SQL注入攻击，最佳方式是通过白名单，定义方法为对于相关的字段只接受特定的帐号号码或帐号类型，或对于其他仅接受英文字母表的整数或字母。很多开发人员都试图使用黑名单字符或转义的方式验证输入。总体上讲，这种方式通过在恶意数据前添加转义字符来拒绝已知的恶意数据，如单引号，这样之后的项就可以用作文字值。这种方式没有白名单有效，因为不可能事先知道所有形式的恶意数据。对于安全操作 ============ 使用以下建议帮助防范对web应用的SQL注入攻击。限制应用程序权限：限制用户凭据，仅使用应用运行所必需权限的。任何成功的SQL注入攻击都会运行在用户凭据的环境中，尽管限制权限无法完全防范SQL注入攻击，但可以大大增加其难度。强系统管理员口令策略：通常攻击者需要管理员帐号的功能才能使用特定的SQL命令，如果系统管理员口令较弱的话就比较容易暴力猜测，增加成功SQL注入攻击的可能性。另一个选项就是根本不使用系统管理员口令，而是为特定目的创建特定的帐号。一致的错误消息方案：确保在出现数据库错误时向用户提供尽可能少的信息。不要泄漏整个错误消息，要同时在web和应用服务器上处理错误消息。当web服务器遇到处理错误时，应使用通用的web页面响应，或将用户重新定向到标准的位置。绝不要泄漏调试信息或其他可能对攻击者有用的细节。有关如何在IIS中关闭详细错误消息的说明请见： http://www.microsoft.com/windows2000/en/server/iis/default.asp?url= /windows2000/en/server/iis/htm/core/iierrcst.htm 使用以下句法在Apache服务器上取缔错误消息: Syntax: ErrorDocument <3-digit-code> Example: ErrorDocument 500 /webserver_errors/server_error500.txt WebSphere之类的应用服务器通常默认安装启用了错误消息或调试设置。有关如何取缔这些错误消息的信息，请参考应用服务器文档。存储过程：如果不使用的话，请删除master..Xp_cmdshell、xp_startmail、xp_sendmail、 sp_makewebtask之类的SQL存储过程。 SQL注入漏洞根本上还是取决于web应用程序的代码。尽管不是修复，但可以通过向IDS中添加结合了正则表达式的规则作为紧急措施检测SQL注入攻击。尽管这无法修复所有可能的SQL注入漏洞，但便于实施，并且要求攻击者必须要改进其方法才能实现成功的攻击。可如下使用正则表达式。删除SQL元字符的正则表达式： /(\%27)\|(\')\|(\-\-)\|(\%23)\|(#)/ix 可如下将上述正则表达式添加到Snort规则： alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"SQL Injection- Paranoid";flow:to_server,established;uricontent:".pl";pcre:"/(\%27)\|(\')\|(\-\-)\|(%23)\|(#)/i"; classtype:Web-application-attack; sid:9099; rev:5;) 传统SQL注入攻击的正则表达式： /\w*((\%27)\|(\'))((\%6F)\|o\|(\%4F))((\%72)\|r\|(\%52))/ix 删除有UNION关键字的SQL注入攻击的正则表达式： /((\%27)\|(\'))union/ix (\%27)\|(\') 可为其他的SQL查询（如select、insert、update、delete、drop等）编写类似的正则表达式。在MS SQL服务器上检测SQL注入攻击的正则表达式： /exec(\s\|\+)+(s\|x)p\w+/ix 对于质量保证 ============ 解决SQL注入缺陷最终要求基于代码的修复，“对于开发”和“对于安全操作”部分所述的步骤提供了修复这些漏洞所必要的信息。以下步骤概述了如何对应用程序手动测试SQL注入。如何对应用程序手动测试SQL注入： 1. 在浏览器中打开希望测试SQL注入漏洞的web应用。 2. 将鼠标光标悬停在Web站点的链接上并注意底部的状态栏，可以看到链接所指向的URL。找到其中带有参数的URL，如http://www.site.com/articleid.asp?id=42 注释：如果没有在状态栏中看到任何URL，请点击链接然后查看地址栏，直到找到带有参数的URL。 3. 找到带有参数的URL后，点击链接进入网页，在地址栏中可以看到状态栏中的URL。 4. 有两种测试SQL注入脚本的方法，请使用全部两种方式依次测试每个参数值。方法1. 在地址栏中点击光标，高亮显示参数值，如高亮显示name=value中的value并用单引号（'）替换，这时应类似于name='。方法2. 在地址栏中点击光标，在value中间输入单引号（'），这时应类似于name=val'ue。 5. 点击GO键将请求发送到Web服务器。 6. 分析Web服务器响应中的错误消息，大多数数据库错误消息都类似于以下示例： Example error 1: Microsoft OLE DB Provider for SQL Server error '80040e14' Unclosed quotation mark before the character string '51 ORDER BY some_name'. /some_directory/some_file.asp, line 5 Example error 2: ODBC Error Code = S1000 (General error) [Oracle][ODBC][Ora]ORA-00933: SQL command not properly ended Example error 3: Error: 1353 SQLSTATE: HY000 (ER_VIEW_WRONG_LIST) Message: View's SELECT and view's field list have different column counts 7. 有时错误消息并不明显，隐藏在页面源码中。如果要查看这些消息，必须查看页面的HTML源码并搜索错误。如果要在Internet Explorer中实现这个操作，点击“查看”菜单，然后选择“源码”选项，这可以打开记事本显示页面的HTML源码。在记事本中，打开“编辑”菜单并选择“查找”。这时会出现一个对话框询问“查找内容”。输入Microsoft OLE DB或[ODBC]然后点击“查找下一个”。 8. 如果6或7步成功，则Web站点存在SQL注入漏洞。
威胁分值	10
危险插件	否
发现日期	2001-01-01

3. 站点详情

3.1 http://202.201.39.48

3.1.1 站点概况

站点URL	http://202.201.39.48
风险值	10.0
风险等级	非常危险
当前状态	任务完成
漏洞信息	高风险：147 次中风险：35 次低风险：689 次
信息统计	已发现链接数：1802 已扫描链接数：635 已发现文件数：1261 有漏洞文件数：365
时间统计	开始：2017-09-08 12:01:07 (UTC+08:00) 结束：2017-09-08 13:41:54 (UTC+08:00) 耗时：1小时40分钟43秒
版本信息	系统版本：V6.0R03F01SP11 插件版本：V6.0R03F00.84

3.1.2 Web应用漏洞

漏洞名称	出现次数
检测到目标URL存在跨站漏洞	142
检测到目标URL存在COOKIE注入漏洞	3
检测到目标URL存在SQL注入漏洞	1
检测到目标服务器启用了TRACE方法	1
检测到目标站点存在git相关文件	12
Microsoft Windows MHTML脚本代码注入漏洞（MS11-026）	4
检测到目标主机可能存在缓慢的http拒绝服务攻击	1
PHP Web表单哈希冲突拒绝服务漏洞	1
检测到目标网站php源代码泄露	1
发现目标存在永久性Cookie	326
检查出可以对表单中的隐藏字段进行操纵	73
检测到目标服务器存在有可直接查看文件列表的目录	71
检测到目标网站存在无效链接	30
检测到目标web应用表单密码类型输入启用了自动完成操作	28
检测到基于HTTP连接的登录请求	25
检测到管理后台登录入口	24
检测到目标URL存在电子邮件地址模式	22
检测到目标网站存在备份文件	18
检测到网站地图文件	14
检测到目标服务器上存在web应用默认目录	10
检测出目标web应用表单存在口令猜测攻击	9
检测到目标站点存在参数污染漏洞	5
检测到目标站点存在SVN相关文件	4
检测到目标URL存在电话号码泄露	4
检测到目标网站存在Bash Shell历史记录文件	4
检测到目标源码中可能存在用户名或者密码信息泄露	4
检测到会话cookie中缺少HttpOnly属性	3
检测到目标URL存在内部IP地址泄露	2
检测到目标网站存在上传下载相关的目录和文件	2
检测到目标服务器可能存在系统路径信息泄露	2
检测到目标可能存在账号信息文件	2
日志信息泄露	2
点击劫持：X-Frame-Options未配置	1
检测到错误页面web应用服务器版本信息泄露	1

4. 参考标准

4.1 单一漏洞危险等级评定标准

危险程度	危险值区域	危险程度说明
高	7 <= 漏洞风险值 <= 10	攻击者可以远程操作系统文件、读写后台数据库、执行任意命令或进行远程拒绝服务攻击。
中	4 <= 漏洞风险值 < 7	攻击者可以利用Web网站攻击其他用户，读取系统文件或后台数据库。
低	1 <= 漏洞风险值 < 4	攻击者可以获取某些系统、文件的信息或冒用身份。

分值	评估标准
1	可远程获取Web服务器组件的版本信息。
2	目标Web服务器开放了不必要的服务。
3	可远程访问到某些不在目录树中的文件或读取服务器动态脚本的源码。
4	可远程因为会话管理的问题导致身份冒用。
5	可远程利用受影响的Web服务器攻击其他浏览网站的用户。
6	可远程读取系统文件或后台数据库。
7	可远程读写系统文件、操作后台数据库。
8	可远程以普通用户身份执行命令或进行拒绝服务攻击。
9	可远程以管理用户身份执行命令（受限、不太容易利用）。
10	可远程以管理用户身份执行命令（不受限、容易利用）。

4.2 站点风险等级评定标准

站点风险等级	站点风险值区域
非常危险	8 <= 站点风险值 <= 10
比较危险	5 <= 站点风险值 < 8
比较安全	1 <= 站点风险值 < 5
非常安全	0 <= 站点风险值 < 1

4.3 安全建议

随着越来越多的网络访问通过Web界面进行操作，Web安全已经成为互联网安全的一个热点，基于Web的攻击广为流行，SQL注入、跨站脚本等Web应用层漏洞的存在使得网站沦陷、页面篡改、网页挂马等攻击行为困扰着网站管理者并威胁着网站以及直接用户的安全。基于此，我们可从如下几个方面来消除这些风险，做到防患于未然：

对网站的开发人员进行安全编码方面的培训，在开发过程避免漏洞的引入能起到事半功倍的效果。
请专业的安全研究人员或安全公司对架构网站的程序和代码做全面的源码审计，修补所有发现的安全漏洞，这种白盒安全测试比较全面、深入，能发现绝大部分的安全问题。
在网站上线前，使用Web应用漏洞扫描系统进行安全评估，并修补发现的问题；在网站上线后，坚持更新并使用网站安全监测系统，对整站以及关键页面进行周期和实时监测，及时消除发现的隐患。
采用专业的Web安全防火墙产品，可以在不修改网站本身的情况下对大多数的Web攻击起到有效的阻断作用，绿盟科技提供了功能强大的WAF产品，可以满足用户在这方面的需求。
建议网络管理员、系统管理员、安全管理员关注安全信息、安全动态及最新的严重漏洞，特别是影响到Web站点所使用的系统和软件的漏洞，应该在事前设计好应对规划，一旦发现系统受漏洞影响及时采取措施。