[DDYDLP-3301] 【车险】移动理赔系统渗透测试问题反馈 - 道康互联（DDSC）

问题详情

类型: 任务
状态: 关闭 (查看工作流)
优先级: 重要
解决结果: 完成
影响版本: v2.0.20240223_veh_release
解决版本: v2.0.20240223_veh_release
模块: 服务端
标签:
无

项目环境:

PRD

选项
- 按名称排序
- 按日期排序
- 升序
- 降序
- 下载全部
- 管理附件

附件

移动理赔系统渗透测试问题反馈(2).xlsx

10/十一月/23 10:50 上午

13 kB

陈金杰

选项
- 显示全部
- 显示开放的

子任务

1.

【渗透测试项：HTTP X-Download-Options缺失】修复方案：设置过滤器增加响应头：res.addHeader("X-Download-Options","noopen");

关闭

黄崔俊

100%

2.

【渗透测试项：Debug模式】修复方案：修改配置

关闭

赵书伟

100%

3.

【渗透测试项：未授权访问】修复方案：服务端校验接口请求参数，未授权时返回401错误页面（地址在描述）

关闭

李振

100%

4.

【渗透测试项：HTTP Content-Security-Policy缺失】修复方案：设置过滤器增加响应头：res.addHeader("Content-Security-Policy","object-src 'self'");

关闭

黄崔俊

100%

5.

【渗透测试项：不安全的错误提示】修复方案：移动理赔将登录错误信息统一返回“用户名或手机号错误”的文案

关闭

黄崔俊

100%

6.

【渗透测试项：系统日志】修复方案：关闭日志输出

关闭

赵宇飞

100%

7.

【渗透测试项：HTTP X-XSS-Protection缺失】修复方案：设置过滤器增加响应头：res.addHeader("X-XSS-Protection","1; mode=block");

关闭

黄崔俊

100%

8.

【渗透测试项：HTTP Strict-Transport-Security缺失】修复方案：设置过滤器增加响应头：res.addHeader("Strict-Transport-Security","max-age=63072000; includeSubdomains; preload");

关闭

黄崔俊

100%

9.

【渗透测试项：越狱检测/越狱检测绕过】修复方案：iOS可判断手机是否为越狱机如果是越狱手机则无法使用APP

关闭

赵宇飞

100%

10.

【渗透测试项：应用程序数据备份】修复方案：修改配置

关闭

赵书伟

100%

11.

【渗透测试项：HTTP Referrer-Policy缺失】修复方案：设置过滤器增加响应头：res.addHeader("Referrer-Policy","origin");

关闭

黄崔俊

100%

12.

【渗透测试项：HTTP X-Content-Type-Options缺失】修复方案：设置过滤器增加响应头：res.addHeader("X-Content-Type-Options","nosniff");

关闭

黄崔俊

100%

13.

【渗透测试项：CORS跨域漏洞】修复方案：Access-Control-Allow-Origin设置源IP或域名的白名单

关闭

黄崔俊

100%

14.

【渗透测试项：Logcat日志检查】修复方案：关闭日志输出

关闭

赵书伟

100%

15.

【渗透测试项：HTTP X-Permitted-Cross-Domain-Policies缺失】修复方案：设置过滤器增加响应头：res.addHeader("X-Permitted-Cross-Domain-Policies","master-only");

关闭

黄崔俊

100%

活动

这个问题没有备注。

用户

经办人:

黄崔俊

报告人:

陈金杰

投票:

0 为这个问题投票

关注人:

1 关注这个问题

日期

创建:

10/十一月/23 10:50 上午

更新:

20/二月/24 11:09 上午

解决:

22/十一月/23 2:19 下午

时间追踪

预估时间:

尚未登记

剩余时间:

0m

实际工作时间:

2w 1d 2h

包括子任务