記安全測試那些事

安全測試又來了。。。。。

第一次 登陸請求 要求登錄過一次不能重複登陸 跟測試槓了很久 仍是按照人家要求改了。

此次 安全測試更多的都是一些 遺漏的問題 開發環境都沒配置 加上就行了。

1.使用普通用戶yscs1去執行字典管理的POST修改請求，可成功修改，故存在垂直越權漏洞。

解決方案： spring security 和shiro加上權限角色校驗便可。

2.未受權訪問漏洞

解決方案： 測試要求靜態資源也不能訪問。權限框架加上攔截就行

3.發現系統存在緩慢HTTP POST DoS攻擊漏洞（Slow HTTP Denial Of Service Attack）。

解決方案：用的tomcat  。測試用了個工具模擬緩慢請求。修改tomcat 鏈接數和 connectionTimeOut就行 改短點。實際上應該 加上 ip和超時限制。

4.跨站請求訪問漏洞

解決方案：一、請求中增長token驗證。二、驗證請求頭中的referer。  沒別的 加攔截器 、過濾器校驗就行

5.發現系統cookie未設置httponly標籤

解決方案：設置cookie 的httponly屬性爲true.