IIS下HP WebInspect 扫描漏洞修复

前段时间做了一家国外公司的门互网站，按照公司的流程必须要进行安全扫描后才允许上线。于是我就开始了苦逼安全漏洞修复之旅。

A2  Broken Authentication and Session Management,A4 - Insecure Direct Object References,A7 - Missing Function Level Access Control

1、不要相信任何用户提交上来的数据，尤其是在涉及到账户安全的页面，前台校验过的数据后台必须同样的进行校验。

2、涉及到用户的密码修改的时候必须输入旧密码

3、由于之前的需求允许用户修改邮箱地址（或登录名），用户可以进行修改邮箱地址为他人的邮箱，然后就可以用他人的账号登录了（这块需要确认）。

4、用户登录成功以后应重新分配一个SESSIONID（用来预防session fixation attacks攻击）。

Cross-Frame Scripting（跨框架脚本攻击）

如果没有做过任何安全措施的话，黑客可以使用一个自己做的网页使用IFRAME然后嵌套着你的网址，然后将黑客自己的网址发送给他人，然后窃取他人的资料。修改方法如下：

1、打开IIS，选择自己的站点，然后选择“内容视图”，然后双击"HTTP响应标头".

2、右键选择“添加...”，名称栏输入"X-Frame-Options",值栏输入"SAMEORIGIN".

Transport Layer Protection: Weak SSL Protocol（弱SSL协议）

当使用SSL传输的时候必须要禁用一些有安全隐患的加密策略。比如禁止SSL3.0及以下版本的加密策略，推荐使用TLS1.0及以上版本。

解决办法：从nartac下载工具对加密策略进行配置。

Cookie Security: Cookie Not Sent Over SSL（Cookie未使用SSL传输）

在Web.Config里配置如下

<httpCookies httpOnlyCookies="true" requireSSL="true"/>

但是如果加上该内容，除非使用SSL,否则无法存储COOKIE

Poor Error Handling: Unhandled Exception

这个BUG非常奇妙，我的网站本来都已经加入了错误处理机制，如果发生错误则会自动跳转致错误页面。但是如果在页面后面加入/aux 则不会触发机制直接报错。后来调了很久发现AUX是DOS系统时代保留的系统文件名。和PRO,CON一样。

解决方法：在Web.Config下添加如下内容

<httpRuntime relaxedUrlToFileSystemMapping="true" targetFramework="4.5" />