weblogic在启用https时一样会报同WebSphere那样的一SSL类漏洞,中间件修复这些漏洞原理上来说是一样的,只是在具体操作上有着较大的区别. 1. weblogic禁用SSLv3算法 编缉$DOMAIN_HOME/bin目录下的setDomainEnv.sh,找到"JAVA_OPTIONS="处,对于10.3.6.x及之后的版本在其后追加: -Djava.net.preferIPv4Stack= 对于10.3.6.x之前的版本则追加(这两个是有些区别的,上边是限定SSL的

1.禁用SSLv3(SSL 3.0 POODLE攻击信息泄露漏洞(CVE-2014-3566)[原理扫描]) 编缉$CATALINA_HOEM/conf/server.xml配置文件,找到https端口配置处,7.0及之前版本默认应如下: <Connector port=" protocol="org.apache.coyote.http11.Http11Protocol" maxThreads=" SSLEnabled="true" sc

WebSphere经常会报“SSL 3.0 POODLE攻击信息泄露”和"SSL/TLS 受诫礼(BAR-MITZVAH)攻击"两个漏洞,前者建议禁用SSL算法后者建议禁用RC4算法.下边介绍WebSphere中如何禁用. 1.登录控制台--展开Security--点击SSL certificate and key management--点击右侧SSL configurations(如果看不到该项注意向右托动浏览器滚动条),如图所示 2.进入NodeDefaultSSLSetting

原文:https://www.cnblogs.com/lsdb/p/7126399.html WebSphere经常会报“SSL 3.0 POODLE攻击信息泄露”和"SSL/TLS 受诫礼(BAR-MITZVAH)攻击"两个漏洞,前者建议禁用SSL算法后者建议禁用RC4算法.下边介绍WebSphere中如何禁用. 1.登录控制台--展开Security--点击SSL certificate and key management--点击右侧SSL configurations(如果看不

在一些安全漏洞扫描中,经常会扫描发现,使用weblogic管理控制台,会有个中危的漏洞. http://192.168.10.46:7001/console/login/LoginForm.jsp Weblogic管理页面直接访问 我们来看下为啥会出现这样的漏洞.审查下页面元素,发现表单输入项自动开启填充记住功能. 如下图所示 这样的后果是:攻击者可能试图尝试每个可能的字母,数字和符号组合,或使用一些暴力破解工具进行猜测,直到它发现了一个正确的组合,从而进入登录页面做进一步深度非法攻击. 这个是

今天上午,Google发布了一份关于SSLv3漏洞的简要分析报告.根据Google的说法,该漏洞贯穿于所有的SSLv3版本中,利用该漏洞,黑客可以通过中间人攻击等类似的方式(只要劫持到的数据加密两端均使用SSL3.0),便可以成功获取到传输数据(例如cookies).截止到发文前,还没有任何补丁放出来. 对此Google表示,他们只能给出一个无奈的建议:关闭客户端SSLv3支持或者服务器SSLv3支持或者两者全部关闭. 另外,Google已经明确表态将在接下来的数月中,逐步从其服务中撤销掉SSL

Stability: 3 - Stable 可以使用 require('tls') 来访问这个模块. tls 模块 使用 OpenSSL 来提供传输层(Transport Layer)安全性和(或)安全套接层(Secure Socket Layer):加密过的流通讯. TLS/SSL 是一种公钥/私钥基础架构.每个客户端和服务端都需要一个私钥.私钥可以用以下方法创建的: openssl genrsa -out ryans-key.pem 2048 所有服务器和某些客户端需要证书.证书由认证中心(

目录 Apache coredump 问题发现与解决记录 背景 发现问题 解决问题 方法 1 方法 2 总结 Linux 程序编译链接动态库版本问题 ldd 命令 动态库的编译和 soname 线上 Apache 坑 浏览器 Apache coredump 问题发现与解决记录 背景 组内的开发机原来是 Nginx + Tomcat 环境拓扑,但线上是 Apache + Tomcat,为了与线上环境保持一致,要求将开发机上的 Nginx 替换为 Apache.目前开发机上基于域名的虚拟机有dk.q

关于SSL POODLE漏洞 POODLE = Padding Oracle On Downgraded Legacy Encryption.是最新安全漏洞(CVE-2014-3566)的代号,俗称“贵宾犬”漏洞. 此漏洞是针对SSL3.0中CBC模式加密算法的一种padding oracle攻击,可以让攻击者获取SSL通信中的部分信息明文,如果将明文中的重要部分获取了,比如cookie,session,则信息的安全出现了隐患. 从本质上说,这是SSL设计上的缺陷,SSL先认证再加密是不安全的.

Go语言安全编码规范-翻译 本文翻译原文由:blood_zer0.Lingfighting完成 如果翻译的有问题:联系我(Lzero2012).匆忙翻译肯定会有很多错误,欢迎大家一起讨论Go语言安全能力建设. 英文地址          翻译原文          转载请标注原作者链接 介绍 Go语言-Web应用程序安全编码实践是为了给任何使用Go进行编程与Web开发的人员提供指导. 这本书是Checkmarx安全研究团队共同努力的结晶,它遵循OWASP安全编码实践快速参考指南. 这本书主要的目

chmod 777 永远不要 使用 777,有时候可以懒惰的解决权限问题, 但是它同样也表示你没有线索去解决权限问题,你只是在碰运气. 你应该检查整个路径的权限,并思考发生了什么事情. 把 root 放在 location 区块内 糟糕的配置: server { server_name www.example.com; location / { root /var/www/Nginx -default/; # [...] } location /foo { root /var/www/Nginx

http://wiki.nginx.org/HttpSslModule#ssl_ciphers 推荐配置: A) 在Apache 的 SSL 配置中禁用 SSLv3 和 SSLv3SSLProtocol all -SSLv2 -SSLv3SSLCipherSuite HIGH:!aNULL:!MD5:!EXPORT56:!EXP B) 在 Nginx 只允许使用 TLS 协议: ssl_protocols TLSv1 TLSv1.1 TLSv1.2;ssl_ciphers HIGH:!aNULL

0x01 SSL3.0简介 我们知道最开始HTTP协议传输数据的时候,数据是不加密的,不安全的,网景公司针对此,推出了SSL(secure socket layer)安全套接层.SSL3.0时,IETF对其标准化,将其更名为TLS1.0(transport layer security),安全传输层协议. 简单介绍这么多,详细了解SSL可以参考以下几个链接,写的很详细. https://blog.csdn.net/enweitech/article/details/81781405 0x02 S

目录 心脏出血漏洞(CVE-2014-0160) OpenSSL CCS注入漏洞(CVE-2014-0224) OpenSSL FREAK Attack漏洞(CVE-2015-0204) TLS/SSL协议RC4算法漏洞(CVE-2013-2566) SSLv3 POODLE攻击信息泄露漏洞(CVE-2014-3566) 关于SSL相关漏洞在线检测网站: SSL漏洞在线检测 SSL是Secure Sockets Layer(安全套接层协议)的缩写,可以在Internet上提供秘密性传输.其目标是

Nginx 陷阱和常见错误 翻译自:https://www.nginx.com/resources/wiki/start/topics/tutorials/config_pitfalls/ 警告: 请阅读下面所有的内容!是所有的! 不管是新手还是老用户,都可能会掉到一个陷阱中去.下面我们会列出一些我们经常看到,和 经常需要解释如何解决的问题.在 Freenode 的 Nginx IRC 频道中,我们频繁的看到这些问题出现. 本指南说 最经常看到的是,有人从一些其他的指南中,尝试拷贝.粘贴一个配置

近来,发布一个应用,开发和本地测试一切都好,一旦部署到测试环境之后,坑爹的问题随之而来,应用程序不定时的超时,导致用户正在操作过程中被踢了出来,纠结了几天,终于在今天将此问题搞定: 1.系统架构 系统采用nginx+weblogic进行部署,javaee项目,分为前台客户端和后台管理端. 2.应用程序排查 凡是遇到超时问题,首先想到的排查项目本身的设置问题.由于此问题出现不规律,可能1分钟就会超时,也可能十分钟,所以首先排除的也是此问题,但为了安全起见,还是找了下系统本身的设置.系统的超时时间设

Weblogic 安装 从官网 下载 需要的weblogic 版本, 解压缩后得到 wls1036_generic.jar [fmw_12.1.3.0.0_wls.jar , fmw_12.2.1.1.0_wls.jar].安装weblogic :  java -jar wls1036_generic.jar, 然后下一步,下一步就好了. weblogic 配置For wls1036: 如果要重新配置 JAVA_HOEM, 修改文件commEnv.sh中相关JAVA_HOME配置项 保存.sh

xingkaistart weblogic10之Failed to initialize the application 'wss-1-1' due to error weblogic. WeblogicJDBC 错误信息:('wss-1-1' 是配置的jndi) <Jan 14, 2011 3:42:09 PM CST> <Error> <Deployer> <BEA-149205> <Failed to initialize the applica

在windows server 2008 R2操作系统下部署weblogic web application,部署完成后进行测试,发现测试页的地址使用的是隧道适配器的地址,而不是静态的ip地址,而且所在的网络并没有ipv6接入,因此决定将ipv6和隧道适配器禁用,操作如下: 禁用ipv6很简单,进入 控制面板\网络和 Internet\网络和共享中心 单击面板左侧"更改适配器设置"进入网络连接界面,选择要设置的连接,右键选择属性,取消Internet 协议版本 6 (TCP/IPv6)

项目使用的是Springboot,之前直接使用JAR包的方式发布,但在客户这边实施发布的时候,客户使用的容器是weblogic,版本为 10.3.6.  痛苦就此开始! 不过项目组还有另外一个也同样使用了Springboot,他们已经顺利发布了,嗯~ 再百度一下, 哈哈哈,这还不是简简单单! 这个事情,随手扔给下面的技术人员搞定就ok的嘛~   结果一周过去了,跟我说项目启不来.没任何反应 .   我??? 这么简单的事情都搞不定,我要你们何用?  于是我就大发慈悲,来帮帮你们吧~   我仿佛看