acttive.txt

1\检测到目标web应用表单密码类型输入启用了自动完成操作(已解决)
描述:
    在web应用form表单中，如果input标签没有指定“autocomplete”属性为“off”，则“autocomplete”的属性会自动默认为“on”。
    当web应用form表单中的密码类型的input标签的“autocomplete”属性为“on”时，用户若提交了一个新的用户名和密码时，浏览器将会
    询问用户是否保存该用户名和密码信息。如果用户选择保存，则之后在显示该web应用表单时，用户名和密码将会被自动填充到对应的输入
    框中。用户一但保存密码，攻击者就可以通过本地从浏览器缓存中获取明文密码，导致用户敏感信息泄露。

解决办法:
    修改web应用form表单中密码类型input标签的“autocomplete”属性为“off”。

    示例：
        1）当密码类型的input标签没有“autocomplete”属性名时，如：
        <input type="password" name="password">
        则增加“autocomplete”属性为“off”即可，修改为：
        <input type="password" name="password" autocomplete="off">

    2) 当密码类型的input标签有“autocomplete”属性名，但其属性值为“on”时，如：
        <input type="password" name="password" autocomplete="on">
        则修改“autocomplete”属性为“off”即可，修改为：
        <input type="password" name="password" autocomplete="off">


2\检测到目标主机可能存在缓慢的http拒绝服务攻击(未解决)
描述:
    缓慢的http拒绝服务攻击是一种专门针对于Web的应用层拒绝服务攻击，攻击者操纵网络上的肉鸡，对目标Web服务器进行海量http request攻击，
    直到服务器带宽被打满，造成了拒绝服务。

    慢速HTTP拒绝服务攻击经过不断的演变和发展，主要有三种攻击类型，分别是Slow headers、Slow body、Slow read。以Slow headers为例，
    Web应用在处理HTTP请求之前都要先接收完所有的HTTP头部，因为HTTP头部中包含了一些Web应用可能用到的重要的信息。攻击者利用这点，发起一
    个HTTP请求，一直不停的发送HTTP头部，消耗服务器的连接和内存资源。抓包数据可见，攻击客户端与服务器建立TCP连接后，每40秒才向服务器发
    送一个HTTP头部，而Web服务器再没接收到2个连续的\r\n时，会认为客户端没有发送完头部，而持续的等等客户端发送数据。如果恶意攻击者客户端
    持续建立这样的连接，那么服务器上可用的连接将一点一点被占满，从而导致拒绝服务。这种攻击类型称为慢速HTTP拒绝服务攻击。

解决办法:
    针对不同的Server其对慢速http拒绝服务攻击防范方法也不同，建议使用以下措施防范慢速http拒绝服务攻击：

    WebSphere
    ========

    1、限制 HTTP 数据的大小
    在WebSphere Application Server 中进行如下设置：

    任何单个 HTTP 头的默认最大大小为 32768 字节。可以将它设置为不同的值。

    HTTP 头的默认最大数量为 50。可以将它设置为不同的限制值。

    另一种常见的 DOS 攻击是发送一个请求，这个请求会导致一个长期运行的 GET 请求。WebSphere Application Server Plug-in 中的 ServerIOTimeoutRetry 属性可限制任何请求的重试数量。这可以降低这种长期运行的请求的影响。

    设置限制任何请求正文的最大大小。详见参考链接。

    2、设置keepalive参数

    打开ibm http server安装目录，打开文件夹conf，打开文件httpd.conf,查找KeepAlive值，改ON为OFF,其默认为ON。

    这个值说明是否保持客户与HTTP SERVER的连接，如果设置为ON，则请求数到达MaxKeepAliveRequests设定值时请求将排队，导致响应变慢。

    Weblogic
    ============

    1、在配置管理界面中的协议->一般信息下设置 完成消息超时时间小于400
    2、在配置管理界面中的协议->HTTP下设置 POST 超时、持续时间、最大 POST 大小为安全值范围。

    Nginx
    ============

    1、通过调整$request_method，配置服务器接受http包的操作限制；
    2、在保证业务不受影响的前提下，调整client_max_body_size, client_body_buffer_size, client_header_buffer_size,large_client_header_buffersclient_body_timeout, client_header_timeout的值，必要时可以适当的增加；
    3、对于会话或者相同的ip地址，可以使用HttpLimitReqModule and HttpLimitZoneModule参数去限制请求量或者并发连接数；
    4、根据CPU和负载的大小，来配置worker_processes 和 worker_connections的值，公式是：max_clients = worker_processes * worker_connections。

    Apache
    ============

    建议使用mod_reqtimeout和mod_qos两个模块相互配合来防护。
    1、mod_reqtimeout用于控制每个连接上请求发送的速率。配置例如：
    #请求头部分，设置超时时间初始为10秒，并在收到客户端发送的数据后，每接收到500字节数据就将超时时间延长1秒，但最长不超过40秒。可以防护slowloris型的慢速攻击。
    RequestReadTimeout header=10-40,minrate=500
    #请求正文部分，设置超时时间初始为10秒，并在收到客户端发送的数据后，每接收到500字节数据就将超时时间延长1秒，但最长不超过40秒。可以防护slow message body型的慢速攻击。
    RequestReadTimeout body=10-40,minrate=500
    需注意，对于HTTPS站点，需要把初始超时时间上调，比如调整到20秒。

    2、mod_qos用于控制并发连接数。配置例如：
    # 当服务器并发连接数超过600时，关闭keepalive
    QS_SrvMaxConnClose 600
    # 限制每个源IP最大并发连接数为50
    QS_SrvMaxConnPerIP 50
    这两个数值可以根据服务器的性能调整。

    IHS服务器
    ============

    请您先安装最新补丁包，然后启用mod_reqtimeout模块，在配置文件中加入：
    LoadModule reqtimeout_module modules/mod_reqtimeout.so
    为mod_reqtimeout模块添加配置：
    <IfModule mod_reqtimeout.c>
    RequestReadTimeout header=10-40,MinRate=500 body=10-40,MinRate=500
    </IfModule>
    对于HTTPS站点，建议header=20-40,MinRate=500。
    参见：http://www-01.ibm.com/support/docview.wss?uid=swg21652165

    F5负载均衡修复建议
    ============

    F5负载均衡设备有相应的防护模块，如无购买可参考附件中的详细配置过程。
    关于F5的慢速攻击防护配置，请参考以下链接：
    https://support.f5.com/kb/en-us/solutions/public/10000/200/sol10260.html
    https://devcentral.f5.com/articles/mitigating-slow-http-post-ddos-attacks-with-irules-ndash-follow-up

3\IIS location 信息泄露(未解决)
描述:
    Internet Information Services（IIS，互联网信息服务）是由微软公司提供的基于运行Microsoft Windows的互联网基本服务。
    由于IIS配置不当，当访问IIS网站上的静态文件时，IIS会在响应头中的location包含服务器的iP地址。导致隐藏在NAT防火墙或者代
    理服务器后面的内部IP地址信息的泄露。

解决办法:
    根据IIS的版本不同，解决方法不同。
    详见微软官方帮助和支持。
    http://support.microsoft.com/kb/218180

4\检测到基于HTTP连接的登录请求(未解决)
描述:
    检测到目标应用程序使用HTTP连接接受客户端的登录请求，如果登录请求数据没有加密处理，有可能被攻击者嗅探到客户端提交的请求数
    据，请求数据中一般包含用户名和密码，导致信息泄露。本漏洞属于Web应用安全常见漏洞.

解决办法:
    在提交登录请求数据前加密请求数据；建议使用HTTPS连接发送登录请求数据。