账号通
    

账号  

密码  

4118

查看

13

回复
主题:[求助]关于会话Cookie中缺少HttpOnly属性及secure属性 [收藏主题] 转到:  
春上秋下 当前离线

521

主题

9

广播

20

粉丝
添加关注
级别:五年级

用户积分:5627 分
登录次数:635 次
注册时间:2010/6/1
最后登录:2024/6/24
春上秋下 发表于:2018/4/27 23:15:31   | 只看该作者 查看该作者主题 楼主 
客户网站(已授权但已过升级服务期) 被辖区公安网监通报,
                                           
   
   

扫描弱点项

   
   

弱点风险

   
   

弱点数量

   
  

会话Cookie中缺少HttpOnly属性

  
  

低危

  
  

1

  
  

会话Cookie中缺少secure属性

  
  

低危

  
  

1

  
  

基于HTTP连接的登录请求

  
  

低危

  
  

1

  
  

电话号码

  
  

信息

  
  

1

  
  

E-Mail地址

  
  

信息

  
  

2

  



其中低危的这三个,要求尽快补上, 在网上找了很多方式,都无法解决,希望官方出一个解决方案, 像政府,事业单位,这样的网站肯定有很多出现这种问题,不管是哪个版本的,也不管有没有过期,都希望官方解决一下,这是一种负责任的态度,相信坛子里有很多这样的粉丝!
 
要么好好的活,要么赶紧去死!
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
科汛官方 当前离线

47268

主题

145

广播

405

粉丝
添加关注
级别:管理员

用户积分:101604 分
登录次数:7935 次
注册时间:2006/12/7
最后登录:2023/12/14
科汛官方 发表于:2018/4/28 9:35:43   | 只看该作者 查看该作者主题 沙发 
科汛在线商城系统(NET)
网站找到了以下方法,可以尝试下http://www.w3dev.cn/article/20140120/asp-create-httponly-cookie.aspx





加上以上函数

,然后在 user/checkuserlogin.asp加调用



大概在213行调用。







另外建议可能的话,升级到.NET产品。

 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
春上秋下 当前离线

521

主题

9

广播

20

粉丝
添加关注
级别:五年级

用户积分:5627 分
登录次数:635 次
注册时间:2010/6/1
最后登录:2024/6/24
春上秋下 发表于:2018/4/28 9:55:11   | 只看该作者 查看该作者主题 藤椅 
科汛在线网校系统
我把user目录给删除了, 还有没有其它的地方可以添加, 或者说 添加到conn.asp文件上面?
 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
春上秋下 当前离线

521

主题

9

广播

20

粉丝
添加关注
级别:五年级

用户积分:5627 分
登录次数:635 次
注册时间:2010/6/1
最后登录:2024/6/24
春上秋下 发表于:2018/4/28 9:56:26   | 只看该作者 查看该作者主题 板凳 
科汛在线网校系统
我把代码复制过来,以免管理给的链接失效,让其它人无法使用

  1. <%
  2. '**************************************************
  3. 'ASP 中输出httponly cookie IE6.0以上浏览器支持
  4. 'WDFrog
  5. '2009-04-15
  6. '<meta http-equiv="Content-Type" content="text/html; charset=gb2312″>
  7. '**************************************************
  8. '———-SetHttpOnlyCookie—————————————-
  9. '功能:设置HttpOnly Cookie
  10. '参数:expDate 为保到期, 0表示不设置,设置为过去某一时间表示清除
  11. '参数:domain 为空(string.Empty)表示不设置
  12. '——————————————————————-
  13. Function SetHttpOnlyCookie(cookieName,cookieValue,domain,path,expDate)
  14. Dim cookie
  15. cookie=cookieName & "=" & Server.URLEncode(cookieValue) & "; path=" & path
  16. If expDate <> 0 Then
  17. cookie=cookie & "; expires=" & DateToGMT(expDate)
  18. End If
  19. If domain <> "" Then
  20. cookie=cookie & "; domain=" & domain
  21. End If
  22. cookie=cookie & "; HttpOnly"
  23. Call Response.AddHeader ("Set-Cookie", cookie)
  24. End Function
  25. '————-getGMTTime————
  26. '参数: sDate 需要转换成GMT的时间
  27. '———————————
  28. Function DateToGMT(sDate)
  29. Dim dWeek,dMonth
  30. Dim strZero,strZone
  31. strZero="00″
  32. strZone="+0800″
  33. dWeek=Array("Sun","Mon","Tue","Wes","Thu","Fri","Sat")
  34. dMonth=Array("Jan","Feb","Mar","Apr","May","Jun","Jul","Aug","Sep","Oct","Nov","Dec")
  35. DateToGMT = dWeek(WeekDay(sDate)-1)&", "&Right(strZero&Day(sDate),2)&" "&dMonth(Month(sDate)-1)&" "&Year(sDate)&" "&Right(strZero&Hour(sDate),2)&":"&Right(strZero&Minute(sDate),2)&":"&Right(strZero&Second(sDate),2)&" "&strZone
  36. End Function
  37. '示例
  38. Call SetHttpOnlyCookie("cookieOnly1″,"onlyValue",".gyzs.com","/",0)
  39. %>




 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
科汛官方 当前离线

47268

主题

145

广播

405

粉丝
添加关注
级别:管理员

用户积分:101604 分
登录次数:7935 次
注册时间:2006/12/7
最后登录:2023/12/14
科汛官方 发表于:2018/4/28 10:28:13   | 只看该作者 查看该作者主题 报纸 
科汛智能建站系统
以下是引用 春上秋下在2018/4/28 9:55:11的发言:
我把user目录给删除了, 还有没有其它的地方可以添加,  或者说 添加到conn.asp文件上面?


后台admin/login.asp也有用到。

 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
春上秋下 当前离线

521

主题

9

广播

20

粉丝
添加关注
级别:五年级

用户积分:5627 分
登录次数:635 次
注册时间:2010/6/1
最后登录:2024/6/24
春上秋下 发表于:2018/5/7 10:55:01   | 只看该作者 查看该作者主题 地板 
按你的方法, 搞了两天,可以了,今天那边又反馈,问题依然存在,而且又出现了SQL的问题



/Item/GetHits.asp    [高危]SQL注入漏洞   这个文件有两处, 为了安全,我把网站未完全显示出来, 将把完整的网址短消息发给您  另外,cookie的问题,依然没有解决 ,  我把服务器远程桌面信息短消息发给您 ,麻烦给处理一下, 谢谢

 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
科汛官方 当前离线

47268

主题

145

广播

405

粉丝
添加关注
级别:管理员

用户积分:101604 分
登录次数:7935 次
注册时间:2006/12/7
最后登录:2023/12/14
科汛官方 发表于:2018/5/7 11:26:18   | 只看该作者 查看该作者主题 7楼 
科汛在线网校系统
请把检测报告发上来。这样看不出有漏洞!
 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
春上秋下 当前离线

521

主题

9

广播

20

粉丝
添加关注
级别:五年级

用户积分:5627 分
登录次数:635 次
注册时间:2010/6/1
最后登录:2024/6/24
春上秋下 发表于:2018/5/7 11:31:43   | 只看该作者 查看该作者主题 8楼 
客户在外面,下午发过来, 谢谢
 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
春上秋下 当前离线

521

主题

9

广播

20

粉丝
添加关注
级别:五年级

用户积分:5627 分
登录次数:635 次
注册时间:2010/6/1
最后登录:2024/6/24
春上秋下 发表于:2018/5/7 15:07:47   | 只看该作者 查看该作者主题 9楼 
科汛在线网校系统
已委托小童童鞋转交, 麻烦给处理一下, 谢谢!
 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
春上秋下 当前离线

521

主题

9

广播

20

粉丝
添加关注
级别:五年级

用户积分:5627 分
登录次数:635 次
注册时间:2010/6/1
最后登录:2024/6/24
春上秋下 发表于:2018/5/7 16:41:42   | 只看该作者 查看该作者主题 10楼 
科汛智能建站系统
已委托小童童鞋转交, 麻烦给处理一下, 谢谢!
 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
<上一主题 | 下一主题 >
Powered By KesionCMS Version X1
厦门科汛软件有限公司 © 2006-2016 页面执行8.90234秒 powered by KesionCMS 9.0