1、Apache JServ协议服务

描述：
Apache JServ 协议（ AJP ）是一种二进制协议，可以将来自 Web 服务器的入站请求代理到 位于 Web 服务器后面的应用程序服务器。不建议在互联网上公开使用 AJP 服务。 如果 AJP 配置错误，可能会允许攻击者访问内部资源。

我的修复建议： {tocamat目录}/conf/server.xml中将下面的配置给注释掉：

2、 没有 CSRF 保护的 HTML 表单

此警报需要手动确认

跨站点请求伪造（ CSRF 或 XSRF ）是一种漏洞，其中攻击者将欺骗者向受害者提出请求没有打算做。因此，使用 CSRF ，攻击者滥用 Web 应用程序与受害者浏览器的信任。

Acunetix 发现一个没有明显的反 CSRF 保护的 HTML 表单。有关详细信息，请参阅“攻击详细信息”部分有关受影响的 HTML 表单的信息。

攻击者可以使用 CSRF 欺骗受害者访问攻击者托管的网站，或点击包含的 URL 恶意或未经授权的请求
CSRF 是一种 “ 混乱的副手 ” 攻击，在伪造时利用受害者的认证和授权 请求正在发送到 Web 服务器。因此，如果 CSRF 漏洞可能会影响高度特权的用户，例如 管理员可以全面的应用程序妥协。

报告给出的建议是：

验证此表单是否需要反 CSRF 保护，并在必要时实施 CSRF 对策。

推荐和最广泛使用的防止 CSRF 攻击的技术也被称为反 CSRF 令牌，有时称为同步器令牌。设计良好的反 CSRF 系统的特点如下属性。

（ 1 ）反 CSRF 令牌对于每个用户会话应该是唯一的

（ 2 ）会话应该在适当的时间段之后自动过期

（ 3 ）反 CSRF 令牌应该是具有显着长度的密码随机值

（ 4 ）反 CSRF 令牌应该是加密安全的，也就是由强伪随机数生成器生成的 （PRNG ）算法

（ 5 ）反 CSRF 令牌被添加为表单的隐藏字段，或者在 URL 内添加（仅当 GET 请求导致状态时才需要 更改，即GET 请求不是幂等）

（ 6 ）如果反 CSRF 令牌验证失败，服务器应拒绝所请求的操作

当用户提交表单或进行一些需要Cookie 的其他经过身份验证的请求时，反 CSRF 令牌应该是 包含在请求中。 然后， Web 应用程序将在处理之前验证此令牌的存在和正确性 请求。 如果令牌丢失或不正确，请求可以被拒绝。

在提交中加入一个 $_SESSION['token']唯一值做验证。

意思就是在每次请求后台接口时在最后面在随机加个参数，传入一个随机的数。比如在前台 js中随机生成一串数字，然后以隐藏的方式放入表单中或session 中。后台 action在接受后再判断是否有这个值。