Attacco di attacco header dell'host con tomcat incorporato di avvio Spring

Naviga le tue risposte
0

La nostra applicazione è stata verificata dallo strumento PEN Test e ci sono descrizioni del problema:

An attacker can redirect the application using the host header on the below mentioned URL to redirect them to phishing websites.

Riproduzione dei passaggi:

  1. Esegui richiesta nell'applicazione
  2. Intercetta la richiesta utilizzando lo strumento proxy
  3. Applica il valore di attacco nell'intestazione "Host"
  4. Inoltra la richiesta
  5. Osserva la risposta 302 con il valore di attacco iniettato

Comportamento previsto: White-list tutti gli URL di reindirizzamento. Assicurati che agli utenti venga ricordato che stanno uscendo dal dominio prima che si verifichi il reindirizzamento.

Quindi, dato che utilizziamo l'avvio a molla con tomcat incorporato, suppongo che dovrebbero essere alcune impostazioni del server.

Qualcuno può aiutare con i passaggi richiesti per prevenire questo attacco?

    
posta dmitry 31.05.2018 - 09:17
fonte

1 risposta

1

Per Tomcat non autonomo, il trucco consiste nel configurare due server virtuali, in cui uno è l'impostazione predefinita e non appartiene a nessuna applicazione Web e l'altro è quello reale in cui è collegata la tua applicazione Web, vedi link

Sembra che questo non funzioni con l'avvio di Spring, perché sembra che non sia possibile configurare i server virtuali.

    
risposta data 25.01.2019 - 13:32
fonte

Leggi altre domande sui tag

Come si verifica la chiave simmetrica in SSH? [duplicare] Identifica il tipo di codifica - decodifica base 32/64 [duplicato]