搜索
测试地址测试账号测试工具扫描开始时结束时间扫描用时危险等级响应时间序号漏洞描述漏洞级别漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项目漏洞描述影响补救受影响的项目安全问题：漏洞详情3跨站脚本攻击高级2ApacheTomcat示例目录漏洞高级1盲注高级XX网站-安全测试报告://192.168.1.127:8002/system/login.aspxadmin/tsgw6227336mail扫描信息：AcunetixWebVulnerabilityScanner10.52017/2/9星期四16:55:5250minutesAcunetix威胁级别3级，高级有一个或多个安全性漏洞被发现。恶意用户可以利用这些漏洞危害后端数据库或破坏你的网站扫描总计2017/2/9星期四15:24:26扫描255个地址，发现了23个地址有弱点；共计58个问题，其中8个高级问题12个中级问题25个低级问题13个提示性问题平均响应时间是859.73ms响应用时最长：/jeesite/a/login,响应用时1232ms漏洞描述影响补救受影响的项目漏洞描述影响补救受影响的项目漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项7页面的错误信息中级8ApacheJserv协议服务中级9HTML表单没有CSRF保护中级7缓慢的HTTP拒绝服务攻击中级JavaScript库薄弱高级3应用程序错误消息高级6MicrosoftIIS波浪号目录枚举高级4Spring框架中的目录遍历高级5漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述11__VIEWSTATE参数未加密中级15ASP.NET网络调试启用低级10源代码泄漏中级14用户凭据以明文发送中级18cookie没有设置HttpOnly标志低级17“点击劫持”:X-Frame-Options头失踪低级16ASP.NET版本泄漏低级12SnoopServlet信息披露中级13URL重定向中级影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救21文件上传低级22OPTIONS方法启用低级24可能敏感的目录低级25URL中的会话令牌低级18cookie没有设置HttpOnly标志低级20登录页面密码猜测攻击低级23可能相对路径覆盖低级19cookie没有设置安全标志低级受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项目漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项漏洞描述影响补救受影响的项29MicrosoftIIS版本泄漏提示28找到邮箱地址提示26坏链提示27内容类型没有指定提示32用户名或密码信息泄漏提示30密码类型输入启用了自动完成提示31内部IP地址暴露提示25URL中的会话令牌低级漏洞描述影响补救受影响的项提示32可能CSRF漏洞这个脚本可能很容易受到SQL注入攻击。SQL注入是一个允许攻击者通过操纵用户输入SQL语句改变后端的漏洞。SQL注入发生在web应用程序接受用户输入，而这些输入直接放入SQL语句并没有适当的过滤掉危险成分。这是最普遍的应用程序层攻击之一,目前在互联网上使用。尽管它相对容易防范,但仍有有大量的web攻击者可能在脆弱的系统上执行任意SQL语句。这可能会影响您的数据库的完整性和/或暴露敏感信息。根据使用的后端数据库,SQL注入漏洞为攻击者提供不同程度的的数据/系统访问。不仅有可能操纵现有的查询,还包括任意数据,使用子选择或添加额外的查询。在某些情况下,它可能会读或写文件,或在底层操作系统执行shell命令。某些SQL服务器如MicrosoftSQLServer包含存储和扩展存储过程(数据库服务器功能)。如果攻击者脚本应该从用户输入过滤元字符。检查有关修复这个漏洞的更多信息的详细信息。/wap/list.aspx/wap/show.aspxApacheTomcat缺省安装包含目录“/examples”，这个目录中有很多示例servlet和jsp。这些例子有安全风险不应该部署在生产服务器上。会话Exampleservlet(安装在/examples/servlets/servlet/SessionExample)允许会话操纵。攻击者可以通过控制该会话而成为管理员，因为会话的全局性，这将是一个巨大的安全风险。回避HttpOnlycookie保护,CSRFcookie控制,会话控制禁用公共访问示例目录websever这个脚本可能容易受到跨站点脚本（XSS）攻击。跨站点脚本（也称为XSS）是一个漏洞，允许攻击者发送恶意代码（通常是JavaScript的形式）到另一个用户。因为浏览器无法知道该脚本是否值得信任，它将允许攻击者访问浏览器保留的任何session或会话令牌，并在用户上下文中执行脚本。恶意用户可能会注入JavaScript、VBScript、ActiveX控件、HTML或Flash到脆弱的应用程序来欺骗用户，就是为了从他们那里收集数据。攻击者可以窃取会话cookie和接管帐户，模拟用户。也有可能修改页面的内容提交给用户。应该过滤用户输入的字符。/jeesite/a/login/jeesite/test/session.jsp/jeesite/test/session.jsp安全问题：漏洞详情XX网站-安全测试报告://192.168.1.127:8002/system/login.aspxadmin/tsgw6227336mail扫描信息：AcunetixWebVulnerabilityScanner10.52017/2/9星期四16:55:5250minutesAcunetix威胁级别3级，高级有一个或多个安全性漏洞被发现。恶意用户可以利用这些漏洞危害后端数据库或破坏你的网站2017/2/9星期四15:24:26扫描255个地址，发现了23个地址有弱点；共计58个问题，其中8个高级问题12个中级问题25个低级问题13个提示性问题平均响应时间是859.73ms响应用时最长：/jeesite/a/login,响应用时1232ms这个页面包含一个错误/警告信息，这个消息可能会泄露用户敏感信息。这个消息也可以包含产生了未处理异常的文件的位置信息。有可能该错误误报。错误消息可以披露敏感信息。这个信息可以用来发动进一步攻击回顾这个脚本的源代码攻击者可以通过正在运行的Springweb应用，获取到应用所在的系统上的所有文件。攻击者可以访问存储在静态资源位置之外的文件受影响的Spring版本的用户应该升级到最新版本/jeesite/static/common/jeesite.css/jeesite/static/jquery-select2/3.4/select2.min.css/jeesite/static/skin/css/base.css/jeesite/static/skin/css/index.css应用的JavaScript库脆弱，已经有1个或多个这个版本的JavaScript库漏洞被报道参考WebReferences获取更多信息升级到最新版本/jeesite/static/jquery/jquery-1.8.3.min.js/jeesite/static/jquery/jquery-migrate-1.1.1.min.js在系统中检测到一个符合8.3文件命名方案的短的文件和目录的名字，他们通常在Windows中被用在几个版本的MicrosoftIIS。例如,它可以检测所有的短名称文件，这些短名称文件有“.aspx”这4个字母扩展。这对于.net网站是一个大问题。网站很容易直接通过URL访问，作为一个攻击者可以通过此找到一些通常不可见的重要文件和文件夹。可能泄露敏感信息从SoroushDalili关于这个问题的论文中查阅“预防技术(s)”部分。本文中列出的Web链接下面的参考资料部分。/这个页面包含一个能会泄漏敏感信息的错误/警告信息。这个消息也包含产生了未处理异常的文件的位置信息。错误消息可以泄漏敏感信息。这个信息可以用来发动进一步攻击。检查这个脚本的源代码。/wms/index.aspx/wms/index1.aspx/wms/index2.aspx/wms/index3.aspx您的web服务器是容易受到缓慢HTTPDoS(拒绝服务)攻击。Slowloris和缓慢的HTTPPOSTDoS攻击依赖于HTTP协议,。如果HTTP请求是不完整的,或者传输速率很低,服务器使其资源忙于等待该请求的其余数据。如果服务器太多的资源处于繁忙状态,这将对其它请求创建一个拒绝服务。一台机器可以以最小的带宽和不相关的服务和端口拿下另一台机器上的web服务器网络参考咨询的信息保护您的Web服务器对这种类型的攻击。severApacheJserv协议是一个二进制协议，可以从Web服务器后面的应用服务器代理到Web服务器的入站请求。一般不推荐在可公开访问的互联网上使用AJP服务。如果AJP配置错误，它可能会允许攻击者访问没有与此问题相关联的影响在生产环境中限制对该服务的访问sever此警报可能是不正确的，请手动确认。跨站请求伪造，又名一键点击攻击或会话骑，简称CSRF或XSRF，这是网站通过信任的用户传递未经授权的命令的恶意攻击，AcunetixWVS发现HTML表单没有明攻击者可能迫使web应用程序的用户执行攻击者选择的操作。如果用户数据和用户是普通的，将阻止这个CSRF漏洞可。如果目标用户是管理员帐户，这将危及整个web应用程序。如果这种表格需要CSRF保护则实施必要的CSRF对策。/jeesite/a/login;JSESSIONID=bd4bd0dd2a894f2c8b43156a2b6a6944/jeesite/f看起来像这个脚本可用的源代码。这次检查是使用模式匹配来确定是否在文件中找到服务器端的标记。在某些情况下,这种警告可能不正确。攻击者可以通过分析源代码收集敏感信息(数据库连接字符串,应用程序逻辑)。这个信息可以用来进行进一步的攻击。把这个文件从你的网站或者改变其权限删除访问。/wms__VIEWSTATE参数未加密的。加密视图状态能有效减少拦截存储在ViewState中的信息的机会。要做到这一点,设置machineKey验证类型为AES。这就要求ASP.net使用高级加密标准来加密ViewState。可能泄漏敏感信息打开web.config，并在system.web元素中添加以下代码：machineKeyvalidation=AES//10589.shtml;/10590.shtml;/133.shtml;/cartravel.aspx;/ewm.aspx;/showbbs.aspx;/wms/index.aspx;/wms/index1.aspx;/wms/index2.aspx;/wms/index3.aspx;/system/login.aspx在IBMWebSphereApplicationServer7.0到7.0.0.23之间得应用程序SnoopServlet，不能有效的限制远程攻击者通过直接请求获得敏感的客户端和请求信息。攻击者可以获得请求和客户信息。限制访问SnoopservletURL或安装最新版本的IBMWebSphereApplicationServer。/examples/jsp/snp/snoop.jsp这个脚本很容易受到URL重定向攻击。URL重定