【漏洞笔记】X-Frame-Options Header未配置

0x00 概述

漏洞名称：X-Frame-Options Header未配置

风险等级：低危

问题类型：管理员设置问题

0x01 漏洞描述

X-Frame-Options HTTP 响应头是用来给浏览器指示允许一个页面可否在 <忽略frame>, <忽略iframe>, <忽略embed> 或者 <忽略object> 中展现的标记。

网站可以使用此功能，来确保自己网站的内容没有被嵌到别人的网站中去，从而避免点击劫持（clickjacking）攻击。

X-Frame-Options有三个值：

deny

表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。

sameorigin

表示该页面可以在相同域名页面的 frame 中展示。

allow-from uri

表示该页面可以在指定来源的 frame 中展示。

换一句话说，如果设置为DENY，不光在别人的网站frame嵌入时会无法加载，在同域名页面中同样会无法加载。

另一方面，如果设置为SAMEORIGIN，那么页面就可以在同域名页面的frame中嵌套。正常情况下我们通常使用SAMEORIGIN参数。

0x02 漏洞危害

攻击者可以使用一个透明的、不可见的iframe，覆盖在目标网页上，然后诱使用户在该网页上进行操作，此时用户将在不知情的情况下点击透明