Приложения J2ee, выпущенные под tomcat, все еще могут быть перехвачены burpsuite после изменения протокола HTTPS. - PullRequest
Новая
       27

Приложения J2ee, выпущенные под tomcat, все еще могут быть перехвачены burpsuite после изменения протокола HTTPS.

0 голосов
/ 30 января 2019

У меня есть приложение j2ee, которое может быть перехвачено burpsuite и получить параметры в запросе, поэтому я настроил tomcat и изменил режим публикации с HTTPS, но он все еще может быть перехвачен burpsuite. Как я могу защитить систему отизбежать перехвата burpsuite в параметрах открытого текста транспорта?

Изменения в tomcat \ conf \ server.xml 

<Connector SSLEnabled="true" acceptCount="100" clientAuth="false"
    disableUploadTimeout="true" enableLookups="false" maxThreads="25"
    port="443" keystoreFile="D:/tools/apache-tomcat-6.0.53/.keystore" keystorePass="password"
    protocol="org.apache.coyote.http11.Http11NioProtocol" scheme="https"
    secure="true" sslProtocol="TLS" />

Изменения в tomcat \ conf \ web.xml 

<login-config>  
        <auth-method>CLIENT-CERT</auth-method>  
        <realm-name>Client Cert Users-only Area</realm-name>  
    </login-config> 
    <security-constraint>  
        <web-resource-collection >  
            <web-resource-name >SSL</web-resource-name>  
            <url-pattern>/*</url-pattern>  
        </web-resource-collection>  
        <user-data-constraint>  
            <transport-guarantee>CONFIDENTIAL</transport-guarantee>  
        </user-data-constraint>  
    </security-constraint>

запись перехвата burpsuite введите описание изображения здесь

...