网站常见漏洞及防护措施

风险名称

测试账号未删除

风险级别

中风险

风险描述

测试账号

测试过程

影响地址

https://github.com/linshaosec

风险分析

测试账户一般为弱密码，随手一试还存在system账户。存在比较大的概率进入系统内部从而进一步进行攻击。

加固建议

如非必要，删除测试账户，或采用强安全性用户名。

另外，统一更改错误提示，无论账户存在与否都显示为“用户名或密码错误”，防止账户枚举

风险名称

用户枚举

风险级别

中风险

风险描述

获取用户名，减少爆破难度。

测试过程

影响地址

https://github.com/linshaosec

风险分析

输入admin用户不存在，输入1admin提示密码错误。

加固建议

对后端jsp代码if语句字符串进行修改。

风险名称

预约信息重放

风险级别

高风险

风险描述

攻击者利用该漏洞无限提交预约留言

测试过程

影响地址

https://github.com/linshaosec

风险分析

攻击者利用该漏洞绕过验证码，消耗服务器系统资源占用，扰乱正常的预约业务。

加固建议

修复后端验证码校检代码

风险名称

任意账户密码重置

风险级别

高风险

风险描述

可以重置其他人包括管理员的账户密码

测试过程

影响地址

https://github.com/linshaosec

风险分析

密码重置不应该使用时间戳来作为验证字段,修改高权限用户密码登录后攻击面会变大，危害也越大

加固建议

使用邮箱发送随机验证码验证来进行密码重置

风险名称

越权访问

风险级别

高风险

风险描述

普通用户可以访问到不该访问的资源，即为越权访问

测试过程

影响地址

https://xxx.xx.com/names.nsf/$users

风险分析

用户登录后直接访问上述链接可以看到其他用户的用户名，邮箱及其登录密码散列等等信息，进而可以用john,hashcat等工具破解出明文密码或制作字典等等

加固建议

联系软件官方进行修复

临时建议:禁止访问该页面