Tomcat TLS漏洞Sweet32生日攻击
远程攻击者可以通过针对长时间加密会话的生日攻击获得明文数据。
在终端中，可以执行以下命令来测试tomcat是否容易受到Sweet32生日攻击。以下openssl命令可用于进行手动测试：
- openSSL s_client-connect localhost:8543-cipher“des:3des”-tls12
- openSSL s_client-connect localhost:8543-cipher“des:3des”-tls1_1
- openSSL s_client-connect localhost:8543-cipher“des:3des”-tls1
- openSSL s_client-connect localhost:8543-cipher“des:3des”-ssl3
- openSSL s_client-connect localhost:8543-cipher“des:3des”-ssl2
问题是我根本不知道在哪里可以阻止这个漏洞。有人能帮帮我吗？
共有1个答案
假设您使用的是Tomcat8，修改server.xml文件如下：
<Connector port="8543" maxHttpHeaderSize="8192" address="192.168.1.1"
enableLookups="false" disableUploadTimeout="true"
acceptCount="100" scheme="https" secure="true" clientAuth="false"
keystoreFile="SomeDir/SomeFile.key" keystorePass="extensa"
truststoreFile="SomeDir/SomeFile.truststore" truststorePass="extensa"
sslProtocol="TLSv1, TLSv1.1, TLSv1.2"
ciphers="TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384,
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,
TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA384, ...
"/>
删除64位和/或以下且密码名中有CBC、CTR、GCM、OCB的密码
将以上参数编辑为本地安装:keystoreFile、keystorePass、truststoreFile、truststorePass
-
我目前的项目完全与大量Spring Boot容器对接。它们中的大多数都是使用log4j2（对于java8，小于2.7）版本构建的。如何充分证明来自JNDI攻击CVE-2021-45105的应用程序？ 我知道最好的解决方案是用log4j版本重建这些容器，但这需要时间和预算。 但是，如果我使用下面的命令，在docker compose级别为每个容器禁用查找功能，它能工作吗？ “JVM_EXTRA_OP
-
Weblogic版本12.1.3.0.0和JDK 1.8.0_101-B13中的NodeManager服务存在以下漏洞 有什么意见/建议吗？
-
1 内存 这个讲义的“区域”（Area）和“段”（Segment）与多数教程正好相反，译文中已更正。 在 PC 架构中，程序中有四个基本读写段：栈、数据、BSS 和堆。数据、BSS 以及堆区可统称为“数据区域”。在“内存布局和栈”的教程中，Peter Jay Salzman 详细描述了内存布局。 栈：栈通常在内存的高地址。通常“向下增长”：从高地址到低地址。无论何时进行函数调用，栈都会使用。 数据
-
讲师：gh0stkey 整理：飞龙 协议：CC BY-NC-SA 4.0 任意密码找回 这是补天平台上的一个案例： http://www.118114.cn/reg.jsp 首先注册一个账号，然后找回。 我们收到的验证码是六位数。如果网站没有设置频率限制，或者最大尝试次数限制的话，那我们自然就会想到可以爆破它。 然后抓提交手机验证码的封包，我们可以看到没有任何图片验证码： 发送到 Burp 的 I
-
本文向大家介绍jQuery Mobile漏洞会有跨站脚本攻击风险，包括了jQuery Mobile漏洞会有跨站脚本攻击风险的使用技巧和注意事项，需要的朋友参考一下 概述 根据国外媒体的最新报道，谷歌公司的安全工程师Eduardo Vela在jQuery Mobile框架中发现了一个安全漏洞，这个漏洞将会让 所有使用了jQuery Mobile的网站暴露于跨站脚本攻击风险之下 。 jQuery Mo
-
我一直在尝试在我们的Spring应用程序中处理log4j2的安全性以传递Veracode。尤其是CWE 117-日志注入漏洞。我们有一个带有spring-boot-starter-log4j2的Spring应用程序。 我尝试配置log4j2模式： 但它不起作用。我还尝试了这样的方法： 或 我仍然得到veracode结果： 我们不想使用ESAPI或任何日志外观，我们不想更改代码中的所有日志行，有数千