IIS环境检测到网站存在响应头X-XSS-Protection\X-Frame-Options\X-Content-Type-Options漏洞解决办法

最新推荐文章于 2024-07-29 10:22:49 发布

hyb3280660

最新推荐文章于 2024-07-29 10:22:49 发布

阅读量5.4k

点赞数 2

文章标签： xss 前端服务器

本文链接：https://blog.csdn.net/hyb3280660/article/details/126276444

版权

IIS环境下的网站存在响应头缺失漏洞如下

1、检测到目标X-Content-Type-Options响应头缺失

2、检测到目标X-XSS-Protection响应头缺失

3、检测到目标Content-Security-Policy响应头缺失 IIS设置

4、检测到目标X-Permitted-Cross-Domain-Policies响应头缺失重新配置IIS

5、检测到目标Strict-Transport-Security响应头缺失重新配置IIS

6、点击劫持：X-Frame-Options未配置重新配置IIS

解决方案一：在站点根目录创建web.config文件，内容如下：

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <system.webServer>
        <httpProtocol>
            <customHeaders>
                <!--检测到目标X-Content-Type-Options响应头缺失-->
                <add name="X-Content-Type-Options" value="nosniff" />
                <!--检测到目标X-XSS-Protection响应头缺失-->
                <add name="X-XSS-Protection" value="1" />
                <!--检测到目标Content-Security-Policy响应头缺失-->
                <!-- <add name="Content-Security-Policy" value="default-src 'self'" /> -->
                <!--检测到目标Strict-Transport-Security响应头缺失-->
                <add name="Strict-Transport-Security" value="max-age=31536000" />
                <!--检测到目标Referrer-Policy响应头缺失-->
                <add name="Referrer-Policy" value="origin-when-cross-origin" />
                <!--检测到目标X-Permitted-Cross-Domain-Policies响应头缺失-->
                <add name="X-Permitted-Cross-Domain-Policies" value="master-only" />
                <!--检测到目标X-Download-Options响应头缺失-->
                <add name="X-Download-Options" value="noopen" />
                <!--点击劫持：X-Frame-Options未配置-->
                <add name="X-Frame-Options" value="deny" />
            </customHeaders>
        </httpProtocol>
    </system.webServer>
</configuration>

解决方案二：打开IIS，点击站点，右侧选择"HTTP响应标头”，点键添加即可