AppScan扫描.NET站点漏洞及修复

2,938 views

阅读模式

刚处理完App安全问题，安全扫描方又反馈来一个Web安全漏洞报告，所幸这次不只是一个人解决~

AppScan.itlao5.com

漏洞扫描用的是IBM的AppScan，下午主要修复下面几个低危漏洞：

一、Autocomplete HTML Attribute Not Disabled for Password Field

描述：

允许浏览器记住密码，可能导致密码信息泄露

修复：

在密码输入框（type="password"）设置为不自动填充

input设置 autocomplete = "off"
asp:TextBox设置 AutoCompleteType="Disabled"

二、Cacheable SSL Page Found

描述：

允许SSL页面使用缓存，可能导致敏感数据泄露

修复：

SSL页面禁用缓存，在相应的页面的<head></head>

标签内加上以下代码

    <meta http-equiv="Pragma" content="no-cache" />
    <meta http-equiv="Cache-Control" content="no-store" />
    <meta http-equiv="Expires" content="0" />

三、Missing or insecure "Content-Security-Policy" header

描述：

Content-Security-Policy响应头缺失，可能会更大程度的暴露于各种跨站点注入攻击

修复：参考（六）

四、Missing or insecure "X-Content-Type-Options" header

描述：

防止在IE9、chrome和safari中的MIME类型混淆攻击

nosniff – 这个是唯一正确的设置，必须这样。

修复：参考（六）

五、Missing or insecure "X-XSS-Protection" header

描述：

这个header主要是用来防止浏览器中的反射性xss。现在，只有IE，chrome和safari（webkit）支持这个header。

0 – 关闭对浏览器的xss防护  
1 – 开启xss防护  
1; mode=block – 开启xss防护并通知浏览器阻止而不是过滤用户注入的脚本。  
1; report=http://site.com/report – 这个只有chrome和webkit内核的浏览器支持，这种模式告诉浏览器当发现疑似xss攻击的时候就将这部分数据post到指定地址。

修复：参考（六）

六、Missing or insecure HTTP Strict-Transport-Security Header

描述：

用来配置浏览器和服务器之间安全的通信，它主要是用来防止中间人攻击，因为它强制所有的通信都走TLS；此设置在https中才有效

max-age=31536000 – 告诉浏览器将域名缓存到STS list里面，时间是一年。  
max-age=31536000; includeSubDomains – 告诉浏览器将域名缓存到STS list里面并且包含所有的子域名，时间是一年。  
max-age=0 – 告诉浏览器移除在STS缓存里的域名，或者不保存此域名。

修复：

在站点的web.config配置文件中添加如下响应头

<system.webServer>
　　<httpProtocol> 
　　　　<customHeaders>
　　　　　　<add name="X-Content-Type-Options" value="nosniff"/>
　　　　　　<add name="X-XSS-Protection" value="1;mode=block"/>
　　　　　　<!--add name="X-Frame-Options" value="SAMEORIGIN"/-->
　　　　　　<add name="Content-Security-Policy" value="default-src 'self'"/>
　　　　　　<add name="Strict-Transport-Security" value="max-age=63072000"/>
　　　　</customHeaders>
　　</httpProtocol>
</system.webServer>