#java #spring #amazon-web-services #security #spring-security
#java #spring #amazon-веб-сервисы #Безопасность #spring-безопасность
Вопрос:
У меня есть приложение Spring boot, работающее на AWS. Время от времени я вижу журнал, в котором появляется сообщение и упоминание ThinkPHP?
java.lang.IllegalArgumentException: Invalid character found in the request target [/index.php?s=/Index/thinkapp/invokefunctionamp;function=call_user_func_arrayamp;vars[0]=md5amp;vars[1][]=HelloThinkPHP21].
The valid characters are defined in RFC 7230 and RFC 3986.
at org.apache.coyote.http11.Http11InputBuffer.parseRequestLine(Http11InputBuffer.java:491) ~[tomcat-embed-core-9.0.36.jar!/:9.0.36]
И ниже:
org.springframework.security.web.firewall.RequestRejectedException: The request was rejected because the URL contained a potentially malicious String ";"
at org.springframework.security.web.firewall.StrictHttpFirewall.rejectedBlacklistedUrls(StrictHttpFirewall.java:369) ~[spring-security-web-5.3.3.RELEASE.jar!/:5.3.3.RELEASE]
Это повод для беспокойства или что происходит?
Обычно трафик вообще не происходит — на сервер не поступает никаких запросов, но это всплывает.
Ответ №1:
ThinkPHP — это платформа для разработки веб-приложений, которая на протяжении многих лет имела различные уязвимости.
Ваше приложение является объектом сканеров уязвимостей spray и pray. Вы можете найти записи журнала веб-сервера или приложения с запросами, такими как следующие:
GET /index.php?s=/Index/x5Cthinkx5Capp/invokefunctionamp;function=call_user_func_arrayamp;vars[0]=md5amp;vars[1][]=HelloThinkPHP21 HTTP/1.1
Что касается того, стоит ли вам беспокоиться или нет: на самом деле это вопрос того, что вы используете, и насколько хорошо вы соответствуете вашим конкретным требованиям безопасности. Автоматические сканеры вряд ли найдут уязвимости в программном обеспечении, которое вы не запускаете.
Комментарии:
1. Я использую API spring boot (tomcat) с spring security. Обрабатываемый домен — это AWS ELB через https, и трафик поступает на мой spring boot по самоподписанному сертификату TLS. Я беспокоюсь, потому что данные довольно деликатные. Я хотел бы знать, какими будут мои методы дальнейшей защиты от этого?
2. вы получили какой-либо ответ? Я столкнулся с той же проблемой на
gcp3. то же самое произошло с моим облачным сервером, на котором запущено приложение quarkus platform. Я не заметил никакого вреда для сервиса, поскольку все это на Java. и я думаю, что уязвимость влияет на платформу разработки php Think. как в этой ссылке securitynews.sonicwall.com/xmlpost /…