常见安全问题汇总

因smartbi的系统功能众多，建议做好内外网隔离，避免在密码泄露的情况下，用户非法访问/菲菲接口调用，内外网隔离设置可参考wiki文档：内外网隔离最小化  

该扩展包支持V8-V11，jdk 要1.7及以上，所有发包版本的war包需要在2023年9月22号以后的才生效、V87在2023年11月9号以后

config.jsp登录爆破

通过smartbi.properties 文件新增配置项来限定ip访问，建议只对服务所在机器开放
配置方法：

1、进入到 tomcat\bin 目录找到 smartbi.properties 文件，在文件中新增如下配置项目

smartbi.allowedConfigIps=10.21.31.71,127.0.0.1

V97 及以上版本的角色里有设置错误信息的操作权限 ，如V11的操作权限设置可查看： 操作权限列表

V95 及以下版本的报错信息权限控制使用扩展包SuccinctErrorMessage，https://wiki.smartbi.com.cn/pages/viewpage.action?pageId=62300080

 进入tomcat的配置目录下(%tomcatHome%\conf) 在 server.xml文件中的Host节点添加如下配置

<Valve className="org.apache.catalina.valves.ErrorReportValve" showReport="false" showServerInfo="false" />

安全检测-Tomcat默认页面泄露

HSTS开启

hsts开启的前提条件是开启了https，（准备好域名、https证书）
Nginx配置：
1、保证Nginx的配置已强制http转https
2、进入到nginx目录下的conf/nginx.conf文件中的server location 中加入以下配置

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

<filter> <filter-name>httpHeaderSecurity</filter-name> <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class> <async-supported>true</async-supported> <init-param> <param-name>hstsEnabled</param-name> <param-value>true</param-value> </init-param> <init-param> <param-name>hstsMaxAgeSeconds</param-name> <!--这里设置的是有效期，生产环境测试时建议不要设置太大，测试没问题后再逐步提高这个值。如：1分钟、5分钟、10分钟、30分钟、60分钟、3个钟、6个钟、12个钟、18个钟、24个钟、半年、一年--> <!--单位是秒--> <!--一年是 31536000 --> <param-value>60</param-value> </init-param> <init-param> <param-name>hstsIncludeSubDomains</param-name> <param-value>true</param-value> </init-param> </filter> <filter-mapping> <filter-name>httpHeaderSecurity</filter-name> <url-pattern>/*</url-pattern> <dispatcher>REQUEST</dispatcher> </filter-mapping>

需要到 系统运维/系统选项/高级设置 中新增如下配置

# 是否开启防止IP伪造，如果有前置代理的情况下不能开启。
HAS_ENABLED_IP_PORGERY=true

跨站脚本攻击、csrf跨站请求伪造

通过加载安全扩展包来配置相关配置项防止
单机配置方式：
1、下载安全扩展包 webSecurity.ext
2、找到安全扩展包中的 /META-INF/webSecurity.properties 文件，修改文件中的默认值。
将strictLimit的默认false修改为true
safeReferer默认为空（即 safeReferer= 表示当前机器放行）。如果有其它应用需要集成Smartbi的需要将其修改为对应机器的请求域名或ip。注意：这里只配置Host，可以是域名或ip，不用配置到具体地址的，如：http://10.11.27.46:8095/smartbi 只需要配置 http://10.11.27.46:8095 即可。

或者配置nginx:

valid_referers none blocked 172.16.20.216 localhost; if ($invalid_referer) { return 403; }

存在缓慢的HTTP拒绝服务攻击

通过配置中间件或nginx的连接超时时间
tomcat配置方式：
进入到Tomcat目录下的conf/server.xml文件中修改如下配置
将 connectionTimeout 值修改为 8000

connectionTimeout="8000"

2、

nginx配置方式：
1、进入到nginx目录下的conf/nginx.conf文件中的http新增如下相关配置

http {
#指定每一个 TCP 链接最多能够保持多长时间
keepalive_timeout 60;
server {
#服务端向客户端传输数据的超时时间
send_timeout 60s;
#请求头分配一个缓冲区
client_body_buffer_size 16k;
#指定客户端与服务端建立连接后发送 request body 的超时时间
client_body_timeout 50s;
#客户端向服务端发送一个完整的 request header 的超时时间
client_header_timeout 10s;
location / {

         }
     }
}

启用了没必要的 http 请求类型

通过配置中间件或代理来禁用相关http方法。
tomcat配置方式：
1、进入tomcat的配置目录下(%tomcatHome%\conf)修改web.xml文件中的 web-app 节点下 添加以下配置。

<security-constraint>
<web-resource-collection>
<web-resource-name>filter-http-method</web-resource-name>
<url-pattern>/*</url-pattern>
<http-method>PUT</http-method>
<http-method>DELETE</http-method>
<http-method>OPTIONS</http-method>
<http-method>HEAD</http-method>
</web-resource-collection>
<auth-constraint></auth-constraint>
</security-constraint>
<login-config>
<auth-method>BASIC</auth-method>
</login-config>

这里禁用了PUT、DELETE、OPTIONS、HEAD，如果还需要禁用其它的则新增一行 <http-method>其它</http-method> 即可

nginx配置方式：
1、进入到nginx目录下的conf/nginx.conf文件中的server 或 location 中加入以下配置。

if ($request_method ~ ^(PUT|DELETE|OPTIONS|HEAD)$) { return 403; }