CMS信息泄露风险

realcan_zs · 发表于 2023-6-5 10:39:14

季老师，您好：
最近对应用服务器进行风险测试，发现一个风险，请问这个要怎么来处理?安全顾问的要求是BusinessServer这个文件加下所有文件均需要登录账号后才有访问权限。

jishuang · 发表于 2023-6-5 14:37:26

default.html请求的3.9版本中应该是处理过没有返回任何信息的

realcan_zs · 发表于 2023-6-5 18:16:13

jishuang 发表于 2023-6-5 14:37
default.html请求的3.9版本中应该是处理过没有返回任何信息的

季老师，这个只是这个文件夹下的html的返回，技术安全部的要求是整个runtime/BusinessServer文件夹需要只能用户登录后访问到

realcan_zs · 发表于 2023-6-6 10:25:52

我们开发试过在tomcat中去屏蔽这个文件夹下所有文件，但是因为平台有很多请求都是从这里进行交互的，屏蔽之后功能就无法正常使用了。您这边有什么方案能够让runtime/BusinessServe这个文件夹下所有文件均只能用户登录之后访问的到？

jishuang · 发表于 2023-6-6 10:29:58

BusinessServer就是标准的web应用的跟目录，可以自己写filter控制
平台默认的请求action的时候肯定是可以判断登录的，如果要直接控制文件那就看标准的web应用都是怎么控制的

lyc_0809 · 发表于 2023-6-6 16:49:40

学习

		自动登录	找回密码
密码			注册

[处理中3] CMS信息泄露风险