网页经常被插入js代码,有什么方法可以解决的..

JavaScript010

网页经常被插入js代码,有什么方法可以解决的..,第1张

1、说明你的网页存在漏洞,有人利用你的漏洞修改了你的网页。2、也有可能是你的服务器有其他漏洞,已经是别人的肉鸡了。3、ARP病毒也能在网页中注入代码,但不影响服务器上的源代码。如果是第一种情况,推荐你用AcunetixWebVulnerabilityScanner软件对你的网站进行安全检测,可以根据检测的结果和修改建议对代码进行修改。

反序列化顾名思义就是用二进制的形式来生成文件,由于common-collections.jar几乎在所有项目里都会被用到,所以当这个漏洞被发现并在这个jar包内实现攻击时,几乎影响了一大批的项目,weblogic的中枪立刻提升了这个漏洞的等级(对weblogic不熟悉的可以百度)。

至于如何使用这个漏洞对系统发起攻击,举一个简单的例子,我通过本地java程序将一个带有后门漏洞的jsp(一般来说这个jsp里的代码会是文件上传和网页版的SHELL)序列化,将序列化后的二进制流发送给有这个漏洞的服务器,服务器会自动根据流反序列化的结果生成文件,然后就可以大摇大摆的直接访问这个生成的JSP文件把服务器当后花园了。

如果Java应用对用户输入,即不可信数据做了反序列化处理,那么攻击者可以通过构造恶意输入,让反序列化产生非预期的对象,非预期的对象在产生过程中就有可能带来任意代码执行。

所以这个问题的根源在于类ObjectInputStream在反序列化时,没有对生成的对象的类型做限制;假若反序列化可以设置Java类型的白名单,那么问题的影响就小了很多。