Appscan漏洞之已解密的登录请求

　　本次针对 Appscan漏洞 已解密的登录请求 进行总结，如下：

1.1、攻击原理

　　未加密的敏感信息（如登录凭证，用户名、密码、电子邮件地址、社会安全号等）发送到服务器时，任何以明文传给服务器的信息都可能被窃，攻击者可利用此信息发起进一步攻击，同时这也是若干隐私权法规（如Sarbanes-Oxley Act，Health Insurance Portability and Accountability Act (HIPAA)，金融隐私权：The Gramm-Leach Bliley Act）的要求，用户凭证之类的敏感信息一律需以加密方式传给 Web 站点。

1.2、防御建议

　　对请求过程中涉及的敏感信息进行加密传输，如将产品HTTP访问方式改为HTTPS安全访问方式；同时在Apache-Tomcat应用服务器的conf文件erver.xml进行安全配置，在产品的WEB.XML文件中添加限制语句等，加密方式除了SSL外，其余满足集团加密算法要求的加密传输方法也认可： http://eip-owsg.paic.com.cn/isms/Admin/DownLoad.aspx?id=a2c04af6-a487-4899-998f-418c89c96318.docx.pdf

1.3、例外情况

　　纯内网系统可不必修复此漏洞。

1.4、实际修复方案

　　1、更改http请求为https请求方式；

　　2、敏感信息（如登录凭证，用户名、密码、电子邮件地址、社会安全号等）加密后再进行传输。