appscan问题修改

1.会话标识未更新:登录页面加入以下代码 

Java代码   收藏代码
  1. request.getSession(true).invalidate();//清空session  
  2. Cookie cookie = request.getCookies()[0];//获取cookie  
  3. cookie.setMaxAge(0);//让cookie过期  


不是很明白session的机制,高手路过可以指教一下。 
2.跨站点请求伪造: 
在出错的url加参数sessionid。 

Java代码   收藏代码
  1. response.getWriter().write( "");  


如果带参数报ssl错误,使用下面的post方式传值: 

Java代码   收藏代码
  1. response.getWriter().write(  
  2.                 " " +  
  3.                 "document.write(\"\");" +  
  4.                 "document.write(\"+sessionId+"'\");" +  
  5.                 "document.write(\"\");" +  
  6.                 "document.formx1.submit();" +  
  7.                 ""  
  8.                 );  


3.启用不安全HTTP方法 

Java代码   收藏代码
  1. 修改web工程中或者服务器web.xml,增加安全配置信息,禁用不必要HTTP方法  
  2.       
  3.        
  4.       /*    
  5.       PUT    
  6.       DELETE    
  7.       HEAD    
  8.       OPTIONS    
  9.       TRACE    
  10.        
  11.        
  12.        
  13.      
  14.      
  15.    BASIC    
  16.    


4.已解密登录请求 
配置SSL,具体见http://serisboy.iteye.com/admin/blogs/1320231 
在web.xml加入如下配置。 

Java代码   收藏代码
  1.     
  2.            
  3.               SSL    
  4.               /*    
  5.           
  6.            
  7.               CONFIDENTIAL    
  8.            
  9.    


5.高速缓存的ssl页面 

Java代码   收藏代码
  1. 页面  
  2. "Pragma" contect="no-cache">  

 

Java代码   收藏代码
  1. java代码  
  2. response.setHeader("Pragma""No-cache");  


6.目录列表 
配置文件目标拒绝访问。 
在conf/web.xml下: 

Java代码   收藏代码
  1.    
  2.  default    
  3. class> org.apache.catalina.servlets.DefaultServlet class>   
  4.    
  5.  debug    
  6.  0    
  7.    
  8.    
  9.  listings    
  10.  false    
  11.    
  12.  1    
  13.    


把listings对应的value设置为fasle. 
或者把上面的这个servlet加到你的虚拟路径下的web-inf/web.xml   中,把 
servlet-name改为其它的,再加一下servlet-mapping 

Java代码   收藏代码
  1.    
  2.  default1    
  3. class> org.apache.catalina.servlets.DefaultServlet class>   
  4.    
  5.  debug    
  6.  0    
  7.    
  8.    
  9.  listings    
  10.  false    
  11.    
  12.  1    
  13.    
  14.    
  15.  default1    
  16.          /    
  17.    

你可能感兴趣的:(高级测试)