当前位置:首页 > 疑难杂症 > 正文内容

检测到目标XXX响应头缺失漏洞【NGINX版】

virtualman1年前 (2023-07-11)疑难杂症4012

image.png

检测到目标X-Content-Type-Options响应头缺失


详细描述:

X-Content-Type-Options HTTP 消息头相当于一个提示标志,被服务器用来提示客户端一定要遵循在 Content-Type 首部中对 MIME 类型 的设定,而不能对其进行修改。这就禁用了客户端的 MIME 类型嗅探行为,换句话说,也就是意味着网站管理员确定自己的设置没有问题。 X-Content-Type-Options响应头的缺失使得目标URL更易遭受跨站脚本攻击

解决办法:

将您的服务器配置为在所有传出请求上发送值为“nosniff”的“X-Content-Type-Options”头。

add_header X-Content-Type-Options: nosniff;

检测到目标X-XSS-Protection响应头缺失

详细描述:

HTTP X-XSS-Protection 响应头是 Internet Explorer,Chrome 和 Safari 的一个特性,当检测到跨站脚本攻击 (XSS)时,浏览器将停止加载页面。 X-XSS-Protection响应头的缺失使得目标URL更易遭受跨站脚本攻击。

解决办法:

将您的服务器配置为在所有传出请求上发送值为“1”(例如已启用)的“X-XSS-Protection”头。

add_header X-Xss-Protection: 1;
add_header X-Xss-Protection: mod=block;

检测到目标Content-Security-Policy响应头缺失

详细描述:

HTTP 响应头Content-Security-Policy允许站点管理者控制用户代理能够为指定的页面加载哪些资源。除了少数例外情况,设置的政策主要涉及指定服务器的源和脚本结束点。 Content-Security-Policy响应头的缺失使得目标URL更易遭受跨站脚本攻击。

解决办法:

将您的服务器配置为发送“Content-Security-Policy”头。

add_header X-Frame-Options SAMEORIGIN;

点击劫持:X-Frame-Options未配置

详细描述:

点击劫持(ClickJacking)是一种视觉上的欺骗手段。攻击者使用一个透明的、不可见的iframe,覆盖在一个网页上,然后诱使用户在该网页上进行操作,此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置,可以诱使用户恰好点击在iframe页面的一些功能性按钮上。 HTTP 响应头信息中的X-Frame-Options,可以指示浏览器是否应该加载一个 iframe 中的页面。如果服务器响应头信息中没有X-Frame-Options,则该网站存在ClickJacking攻击风险。网站可以通过设置 X-Frame-Options 阻止站点内的页面被其他页面嵌入从而防止点击劫持.

解决办法:

修改web服务器配置,添加X-Frame-Options响应头。赋值有如下三种:
1、DENY:不能被嵌入到任何iframe或者frame中。
2、SAMEORIGIN:页面只能被本站页面嵌入到iframe或者frame中。
3、ALLOW-FROM uri:只能被嵌入到指定域名的框架中。

add_header X-Frame-Options:ALLOW-FROM 域名;
add_header X-Frame-Options:DENY;


相关文章

ICMP timestamp请求响应漏洞处理(CVE-1999-0524)

ICMP timestamp请求响应漏洞处理(CVE-1999-0524)

漏洞描述:漏洞描述:远程主机响应ICMP时间戳请求。 时间戳回复是回复时间戳消息的ICMP消息。 它由时间戳的发送者发送的始发时间戳以及接收时间戳和发送时间戳组成。 这个信息理论上可以用来开发其他服务中基于时间的弱随机数发生器。风险级别低。二、加固处理1)防火墙上过滤外来(INPUT)的ICMP t...

解决SSH版本信息可被获取漏洞

解决SSH版本信息可被获取漏洞

描述:SSH服务允许远程攻击者获得ssh的具体信息,如版本号等等。这可能为攻击者发动进一步攻击提供帮助。   解决方法: 如果banner包含敏感信息,NSFOCUS建议您采取以下几类措施以降低威胁: * 修改源代码或者配置文件改变SSH服务的缺省banner...

Visual Studio安装共享组件、工具和SDK位置更改。

今天安装VS的时候遇到一个问题,就是共享组件的安装位置,默认是我以前的位置,在G盘里,但是后面更换了硬盘分区,G盘以及没有了,安装程序里也没提供修改安装路径的地方。去群里问了一下大佬,找到了更改方法: 1、打开注册表  2、进入HKEY_LOCAL_MACHINE /SOFTWARE /M...

C#使用SendMessage传递字符串时,String与IntPtr的转换

使用 IntPtr p = Marshal.StringToHGlobalAnsi(s) 将string类型转换为IntPtr类型...

发表评论

访客

看不清,换一张

◎欢迎参与讨论,请在这里发表您的看法和观点。