系统漏洞

最近客户找第三方安全机构测试平台 出现很多问题，网站只能上传2M以下的文件 所以上传不了，举例几个问题  看看怎么解决
1，基于时间的SQL盲注

URL        http://hyxmgl.huizhou.gov.cn:80/portal/login/login.action  
弱点        参数: myHandleUrl=null, 注入类型: 字符型,数据库类型: MySQL  
等级        紧急

URL        http://hyxmgl.huizhou.gov.cn:80/portal/login/loginInDialog.action  
弱点        参数: _showCode=5431, 注入类型: 数字型,数据库类型: MySQL  
等级        紧急

.漏洞描述：
Web应用程序通常与后端的数据库进行交互。Web应用程序提供相关的接口，以便将它并入SQL查询中，然后发送到后端数据库，接着应用程序处理查询结果，反馈给访问者。如果应用程序对访问者的输入处理未做检查或者检查的不完善，访问者便可以构造恶意的数据，当该数据并入SQL查询中时，就将得到访问者期望的结果。


2，跨站脚本

URL        http://hyxmgl.huizhou.gov.cn:80/portal/login/login.action  
弱点        parameter: username=1, xss: */-->'"></iframe></script></style></title></textarea><script >alert(/1/)</script>  
等级        紧急

URL        http://hyxmgl.huizhou.gov.cn:80/portal/login/loginInDialog.action  
弱点        parameter: username=, xss: */-->'"></iframe></script></style></title></textarea><script >alert(/1/)</script>  
等级        紧急

漏洞描述
跨站点脚本（XSS）是针对其他用户的重量级攻击。从某种程度上说，XSS是在Web应用程序中发现的最为普遍的漏洞，困扰着现在绝大多数的应用程序，包括因特网上一些最为注重安全的应用程序，如电子银行使用的应用程序

3、框架注入


URL        http://hyxmgl.huizhou.gov.cn:80/portal/login/login.action  
弱点        parameter: username=1, frame_inj: #*/-->'");></iframe></script></style></title></textarea><iframe src=http://www.dbappsecurity.com.cn>  
等级        高危

URL        http://hyxmgl.huizhou.gov.cn:80/portal/login/loginInDialog.action  
弱点        parameter: username=, frame_inj: #*/-->'");></iframe></script></style></title></textarea><iframe src=http://www.dbappsecurity.com.cn>  
等级        高危

漏洞描述：
如果应用程序易于受到框架注入，那么攻击者就可以使用以下步骤利用这种漏洞。
(1)攻击者创建一个看似无害的Web站点，其中包含一段每隔10s就会自动运行的脚本，并尝试使用它覆写main_display框架的内容。新内容保存在攻击者的站点中，其中包含木马功能，它的外观与test.com框架的常规内容完全相同，但可将用户输入的所有数据提交给攻击者。

(2)攻击者或者等待test.com用户浏览他创建的站点，或者使用其他方法诱使他们这样做，如发送电子邮件、购买横幅广告等。

(3)一名用户浏览攻击者创建的看似无害的Web站点。如果用户同时还在使用test.com，或者在另一个浏览器窗口显示攻击者的站点的同时访问test.com，那么攻击者的木马内容就会覆写test.com窗口中的main_display框架。如果用户继续使用貌似为test.com的应用程序，那么他输入的任何数据都将被提交给攻击者

4、链接注入

URL        http://hyxmgl.huizhou.gov.cn:80/portal/login/login.action  
弱点        parameter: username=1, link_inj: */-->'");></iframe></script></style></title></textarea><a href='1.htm'>Link_Injecting</a>  
等级        高危

URL        http://hyxmgl.huizhou.gov.cn:80/portal/login/loginInDialog.action  
弱点        parameter: username=, link_inj: */-->'");></iframe></script></style></title></textarea><a href='1.htm'>Link_Injecting</a>  
等级        高危
2.1.4.2.3.1 . 漏洞描述：
链接注入是将某个URL嵌入到被攻击的网站上，进而修改站点页面。被嵌入的URL包含恶意代码，可能窃取正常用户的用户名、密码，也可能窃取或操纵认证会话，以合法用户的身份执行相关操作。下边PHP代码为例，做简要的分析。

        跨站攻击、sql注入、js脚本攻击相关的高危漏洞早前就已经修正，原先这些安全设置是默认开启的，由于dev04提供给用户试用，默认开启安全设置会导致从url中传递用户密码的方式登录系统会被拦截，改成默认关闭，现开户方法如下。


    开启方式：
    用文本编辑器打开 “WEB-INF/classes/security.properties” 文件 修改“SecurityFilter.stopCSRF”对应的值为true即可，如下图示：
   
    另外，拦截关键词也可在此进行配置，用“|”符号隔开。

这些问题呢？