最近在做安全扫描,把遇到的一些问题以及一些解决方法记录下,以备后用. 扫描软件: IBM Security AppScan Standard  规则: 17441 1. 已解密的登录请求 (高) - 传递的参数名称避免使用语义明确的英文单词 > 如UserID, UserPwd, Password等 - 传递参数中包含敏感数据时使用post方式提交并进行加密传输 - 采用ajax方式提交表单时,提交的参数名称应与对应的表单控件name属性不同或者去掉name属性,通过ID属性取值.   2. 查

title: ssl Diffie-Hellman弱密码问题 date: 2017-08-16 16:41:55 categories: 网络安全 tags: ssl Diffie-Hellman --- 开发相关 tomcat8 jdk1.8 springboot 扫描软件 Nessus 异常信息 关于Diffie-Hellman Diffie-Hellman:一种确保共享KEY安全穿越不安全网络的方法,它是OAKLEY的一个组成部分.Whitefield与Martin Hellman在197

目录: SoapUI测试webservice接口,发送XML格式参数 Postman测试webservice接口,发送XML格式参数 WebServiceStudio.exe测试webservice接口工具 Jmeter性能测试webservice接口,发送XML格式参数 <?xml version="1.0" encoding="UTF-8"?> <CARDINFO> <CARDNOS>"044158d6"&

发送请求 没有参数 private static void getData() { String timeStamp = String.valueOf(System.currentTimeMillis()); String code = "1234"; String key = "1234567"; String sign = DigestUtils.md5Hex(key + timeStamp + code).toUpperCase(); String url =

近期 Appscan扫描出漏洞 加密会话(SSL)Cookie 中缺少 Secure 属性,已做修复,现进行总结如下: 1.1.攻击原理 任何以明文形式发送到服务器的 cookie.会话令牌或用户凭证之类的信息都可能被窃取,并在稍后用于身份盗窃或用户伪装,此外,若干隐私法规指出,用户凭证之类的敏感信息要始终以加密的方式发送到 Web 站点. 1.2.修复建议 给cookie添加secure属性 1.3.修复代码示例 1)服务器配置为HTTPS SSL方式 2)Servlet 3.0 (Java

问题描述: ​ 解决方法: 1.Server 2008(R2) 根据appScan的修订建议访问地址:http://msdn.microsoft.com/en-us/library/windows/desktop/bb870930(v=vs.85).aspx 里面说了如何修改SSL 密码套件的优先级和状态,里面有一堆的加密方式,很难知道哪些该保留,哪些改去掉(其实AppScan里面已经有提示哪些该去掉): 经过一番资料查找,有一个名叫IIS Crypto的软件工具,专门用来解决上面的问题: 软件

在 Mac 2011 Outlook 中发送电子邮件时,您可能会收到下面的错误消息: 无法发送邮件.SMTP 服务器无法识别任何 Outlook 所支持的身份验证方法.请尝试更改帐户设置中的 SMTP 身份验证选项,或与网络管理员联系.错误 17092 解决方案 要解决此问题,请调整您的帐户设置按照下列步骤操作: 启动 Outlook. 单击工具,然后选择帐户. 选择您的帐户. 单击以选中重写默认端口在发送服务器下的框. 在端口框中,键入 587. 单击更多选项按钮. 在身份验证下拉框中,单击以

1     在左上栏目里面选择  New E-mail选项卡,点击进入发送新邮件页面. 2    在第一栏选择Options选项,点击打开 3    看到有一个红色按钮Perssion按钮,打开 4   在下面选择Do Not Forward,确认即可完成加密功能.

两个问题:      1.httpclient怎样发送一个没有不论什么參数的post数据呢?      2.Webproject怎样去接收一个无參数的post呢? 起因:      今天(2014.11.10)在开发中碰到了一个问题.接口提供方提供的接口是要求使用post方式发送数据的.心想这不超简单的一个东西吗?直接post过去不就是了.可是,提供的接口是没有不论什么參数的.不是类似这样的http://api.dutycode.com/data/parm=xxx这样的接口,而是http://a

背景介绍 Restlet Client是一款模拟客户端发送http请求的chrome插件,可以作为驱动调试后台程序,个人觉得比POSTMAN好用.CXF是一款发布restful服务的开源组件. 编写restful接口一般都使用json串作为输入参数和返回值,调试的时候只要手工构造json串放到消息体,很简单.但是也有部分restful接口制定参数是xml格式.参数是Java类对象(参数class定义时增加@XmlRootElement注解,CXF可以实现XML与对象的自动转换),但是手工构造参数

./configure \ --with-http_ssl_module \ make && make install     nginx编译参数说明如下:   --prefix=<path> -- 安装路径,如果没有指定,默认为/usr/local/nginx.--sbin-path=<path> -- nginx可执行命令的文件,如果没有指定,默认为<prefix>/sbin/nginx.--conf-path=<path> -- 在没有

背景 这要从我比较懒说起.技术框架ExtJS + resteasy,默认请求方式是ajax get,这后台方法就要写很多@QueryParam来获取参数.我比较喜欢前台用ajax post请求,后台方法参数就是一个map,所有前台参数映射成map的key-value,然后将map --> json(com.alibaba.fastjson) --> pojo对象. 这里不得不赞一下fastjson转化数据类型很智能,诸如integer.date类型基本不需要自定义方法就完美转换. 例子 通过g

在使用httpclient发送post请求的时候,接收端中文乱码问题解决. 正文: 我们都知道,一般情况下使用post请求是不会出现中文乱码的.可是在使用httpclient发送post请求报文含中文的时候在发送端数据正常但是到了服务器端就中文乱码了. 解决办法: 发送端进行设置编码如下: 工具类: package com.Util; import com.google.common.base.Charsets; import org.apache.http.HttpEntity; import

使用springboot之前,我们发送http消息是这么实现的 我们用了一个过时的类,虽然感觉有些不爽,但是出于一些原因,一直也没有做处理,最近公司项目框架改为了springboot,springboot中有一种很方便的发送http请求的实现,就是RestTemplate,而且实现起来非常简单,代码也很清晰. 从上面代码可以看到,向钉钉发送的参数为一个json字符串,所以需要的HttpEntity的泛型应该是String,如果是键值对,就需要声明MultiValueMap<String, Str

/** * 发送post请求 * @param url 路径 * @param jsonObject 参数(json类型) * @param encoding 编码格式 * @return * @throws ParseException * @throws IOException */ public static String send(String url, JSONObject jsonObject,String encoding) throws ParseException, IOExc

server { listen 443; server_name demo.shengruijt25.com; ssl on; root html; index index.html index.htm; ssl_certificate /data/website/demo_373/cert/demo.pem; ssl_certificate_key /data/website/demo_373/cert/demo.key; ssl_session_timeout 5m; ssl_ciphers

如题 原因分析:参数在传递过程中经历的几次编码和解码标准不同,导致加号.空格等字符的错误. 解决方案:将post请求的参数中 ,含有+号的,统统采用%2B 去替换,这是URL的协议问题.

首先在body下复制需要传的xml: 然后点击url右边的Params,添加key和value.value和body下的xml是一样的: 最后点击send,后台就能接收到参数了.

1.打开windows的git bash set GIT_SSL_NO_VERIFY=true git clonegit config --global http.sslVerify false  2.保存密码 永久保存 git config --global credential.helper store 设置记住密码(默认15分钟) 如果想自己设置缓存时间,可以这样做: git config credential.helper ‘cache –timeout=’

目 录 1 会话标识未更新 3 1.1 原因 3 1.2 解决 3 2 SQL注入 3 2.1 原因 3 2.2 解决 5 3 XSS跨站脚本编制 5 3.1 原因 5 3.2 解决 5 4 XSRF跨站请求伪造 7 4.1 原因 7 4.2 解决 8 5 登录错误消息凭证枚举(不充分帐户封锁) 8 5.1 原因 8 5.2 解决 9 6 HTML注释敏感信息泄露 9 6.1 原因 9 6.2 解决 9 7 应用程序错误 9 7.1 原因 9 7.2 解决 9 8 已解密的登录请求 9 8.1

Web 应用的基础概念 在讨论 Web 应用安全之前,先简单介绍一下 Web 应用基础概念,这样便于理解为什么 Web 应用是脆弱的,容易受到攻击. 1. 什么是 Web 应用 Web 应用是由动态脚本.编译过的代码等组合而成.它通常架设在 Web 服务器上,用户在 Web 浏览器上发送请求,这些请求使用 HTTP 协议,经过因特网和企业的 Web 应用交互,由 Web 应用和企业后台的数据库及其他动态内容通信. 2. Web 应用的架构 尽管不同的企业会有不同的 Web 环境搭建方式,一个典型