系统和应用安全漏洞及修复方法汇总

开发的系统上线前，通常需要对系统和站点进行安全扫描，提前避免一些漏洞上线后被利用进行恶意操作的风险，下面汇总了常见的安全漏洞及修复方法。

系统环境：CentOS7.9

系统扫描漏洞

1、【中风险】Weak Key Exchange (KEX) Algorithm(s) Supported (SSH)

修复方法：支持的弱密钥交换（KEX）算法（SSH）。因为系统默认未指定加密算法，而部分加密算法不再安全，需要配置指定的强加密算法。在etc/ssh/sshd_config 文件中新增：

KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,diffie-hellman-group14-sha256,diffie-hellman-group14-sha1

2、【中风险】Weak Encryption Algorithm(s) Supported (SSH)

修复方法：支持弱加密算法（SSH）。因为系统默认未指定加密算法，而部分加密算法不再安全，需要配置指定的强加密算法。在etc/ssh/sshd_config 文件中新增：

Ciphers aes128-ctr,aes192-ctr,aes256-ctr

3、【中风险】SSL/TLS: Known Untrusted / Dangerous Certi cate Authority (CA) Detection

修复方法：已知的不可信/危险认证机构（CA）检测。是因为使用了不可信的SSL安全证书，安装替换为正规机构颁发的SSL安全证书即可。

应用扫描漏洞

1、【高风险】SQL 盲注

修复方法：未对用户输入正确执行危险字符清理，可在请求接收端先检测SQL盲注的特殊字符，如果存在返回错误信息。

2、【高风险】LDAP盲注

修复方法：未对用户输入正确执行危险字符清理，解析测试请求时，会发现请求参数中，添加了特殊字符，需在接收端进行检测并返回错误信息。

3、【中风险】跨站点请求伪造

修复方法：请求头中加入token再进行验证。加了token后，也有可能再扫描出这个问题，一般是扫描软件误报导致，可以根据测试请求内容，对症制订对应措施。

4、【中风险】检测到弱密码：并非所有密码套件均支持完全前向保密

【中风险】弱密码套件-ROBOT攻击：服务器支持易受攻击的密码套件

修复方法：Web 服务器或应用程序服务器是以不安全的方式配置的。需要在nginx的配置文件中，指定ssl的加密算法：

server {
        listen 443 ssl;
        ...
        ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4:!DES:!3DES:!RSA;
        ...   
}