针对magento1.9的存在安全风险的问题进行修补

最近公司安排对网站进行渗透测试，经过一波沟通和对接，终于确定下了乙方公司。然后第一步就是进行ASV扫描，扫描后发现了几个问题，结合整改的方案记录如下：

电商系统底版为magento1.9.2，云端部署在aws上。

a、 SSL/TLS Server supports TLSv1.0
解决办法：在elb中更换高版本的tls协议；
验证：nmap --script ssl-enum-ciphers -p 443 www.xxxx.com

b、HTTP Security Header Not Detected
解决办法：nginx.conf添加以下配置并reload
add_header X-Frame-Options SAMEORIGIN;
add_header X-XSS-Protection "1; mode=block";
add_header X-Content-Type-Options nosniff;
验证：
curl -I www.xxx.com

c、Session Cookie Does Not Contain the "Secure" Attribute
解决办法：app\code\core\Mage\Core\Model\Cookie.php
更改isSecure如下：
public function isSecure()
    {
       return $this->_getRequest()->isSecure();
    }
验证：
https下验证是否成功

d、Cookie Does Not Contain The "secure" Attribute
解决办法：如c