资讯专栏INFORMATION COLUMN

上云采购季！| 2核2G4M爆款云服务器低至59元/年，更有多台、长期优惠，快来选购！

立即前往
首页/文章专栏/BES中间件3种漏洞修复方法

BES中间件3种漏洞修复方法

IT那活儿 / 4096人阅读
BES中间件3种漏洞修复方法

点击上方“IT那活儿”公众号，关注后了解更多内容，不管IT什么活儿，干就完了！！！


  

知识点描述：

安全厂商扫描机器后BES存在相关漏洞，需要通过前台控制台页面修改HTTP和IIOP端口配置，或者通过BES域控制文件修改相关参数解决漏洞。


标准指导操作

漏洞1 SSL/TLS 服务器瞬时 Diffie-Hellman 公共密钥过弱【原理扫描】

1）登陆控制台，点击 管理服务器—>服务—>WEB容器—>HTTP监听器，点击扫描出漏洞对应监听端口的listener。

2）在SSL配置中按照下图部署密码套件。

3）重启BES服务。

漏洞2 服务器支持 TLS Client-initiated 重协商攻击(CVE-2011-1473)【原理扫描】

1）登陆控制台，点击 管理服务器—>服务—>EJB容器—>IIOP监听器。

2）根据漏洞端口号点击对应名称进去。

3）在下图中状态将钩点掉后点击保存。

4）重启BES服务

5）假若无法登陆控制台，可以在adminserver路径下的域控制文件中更改domain.config，将下图中true改成false。

漏洞3 HTTP慢速攻击漏洞

1）点击 独立实例—>实例名—>服务—>WEB容器—>HTTP监听器，找到下图中右边三个监听器。

2）修改这三个监听器中HTTP属性中的连接上载超时时间，具体时间需要根据实际情况做修改，扫出漏洞可将时间调小，图片仅作为参考。（三个都修改，如果监听器未启用，则不需要修改）

3）修改完成后重启实例，可在控制台重启也可以在后台adminserver/bin目录下使用脚本重启。

4）若用前台页面打开登陆控制台，可在adminserver/config目录下修改domain.config文件，按照encoded-slash-enabled="true"搜索，将connection-upload-timeout-millis的值修改后重启BES实例。


本文作者：刘川陵（上海新炬王翦团队）

本文来源：“IT那活儿”公众号

云服务器 GPU云服务器 瑞星漏洞修复 网站漏洞修复 漏洞修复报告 漏洞修复还原

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/129284.html

相关文章

  • Android 安全开发之 ZIP 文件目录遍历

    摘要：阿里聚安全的应用漏洞扫描服务，可以检测出应用的文件目录遍历风险。阿里聚安全对开发者建议对重要的压缩包文件进行数字签名校验，校验通过才进行解压。 1、ZIP文件目录遍历简介 因为ZIP压缩包文件中允许存在../的字符串，攻击者可以利用多个../在解压时改变ZIP包中某个文件的存放位置，覆盖掉应用原有的文件。如果被覆盖掉的文件是动态链接so、dex或者odex文件，轻则产生本地拒绝服务漏洞...

    sorra 评论0 收藏0

发表评论

登陆后可评论

0条评论

IT那活儿

男|高级讲师
我要私信

TA的文章

阅读更多
最新活动
阅读需要支付1元查看
<