web漏洞-点击劫持：X-Frame-Options未设置-低危

漏洞描述：

点击劫持（ClickJacking）是一种视觉上的欺骗手段。攻击者使用一个透明的、不可见的iframe，覆盖在一个网页上，然后诱使用户在该网页上进行操作，此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置，可以诱使用户恰好点击在iframe页面的一些功能性按钮上。

HTTP 响应头信息中的X-Frame-Options，可以指示浏览器是否应该加载一个 iframe 中的页面。如果服务器响应头信息中没有X-Frame-Options，则该网站存在ClickJacking攻击风险。网站可以通过设置 X-Frame-Options 阻止站点内的页面被其他页面嵌入从而防止点击劫持。

解决办法：

1、修改web服务器配置，添加X-Frame-Options响应头。

赋值有如下三种： 

DENY：不能被嵌入到任何iframe或者frame中。

SAMEORIGIN:页面只能被本站页面嵌入到iframe或者frame中。 

ALLOW-FROM uri：只能被嵌入到指定域名的框架中。

IIS：

• 配置 IIS 发送 X-Frame-Options 响应头，添加下面的配置到 Web.config 文件中:

<system.webServer>

...


<httpProtocol>

<customHeaders>

<add name="X-Frame-Options" value="SAMEORIGIN" />

</customHeaders>

</httpProtoco