HSTS漏洞（缺少Strict-Transport-Security头）

最新推荐文章于 2025-04-03 10:59:31 发布
最新推荐文章于 2025-04-03 10:59:31 发布
阅读量3.2k 收藏 3
点赞数 6
分类专栏： Web/系统安全与溯源 文章标签： 安全 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u012206617/article/details/139008059
版权
本文详细介绍了HSTS（HTTP Strict Transport Security）漏洞，包括漏洞描述、等级评估和修复方法。中危级别的HSTS漏洞可能导致浏览器无法强制使用HTTPS访问网站。修复方案涉及在nginx配置中添加`Strict-Transport-Security`响应头，设置`max-age`以确保两年内浏览器始终使用HTTPS，并启用`includeSubdomains`以保护所有子域名。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

目录

漏洞描述

漏洞等级

漏洞复现

修复方法

漏洞描述

HTTP严格传输安全性（HSTS）告诉浏览器只能使用HTTPS访问网站。 检测到您的Web应用程序未实现HTTP严格传输安全性（HSTS），因为响应中缺少严格传输安全性标头。

漏洞等级

中危

漏洞复现

理想回复响应头因存在：Strict-Transport-Security: max-age=31536000信息

了解本专栏 订阅专栏 解锁全文
渗透测试web未设置http头 Strict Transport Security
墨痕诉清风的博客
10-26 9451
HSTS(HTTP Strict Transport Security)是国际互联网工程组织IETF发布的一种互联网安全策略机制。采用HSTS策略的网站将保证浏览器始终连接到该网站的HTTPS加密版本，不需要用户手动在URL地址栏中输入加密地址，以减少会话劫持风险。HSTS响应头格式preload]max-age，单位是秒，用来告诉浏览器在指定时间内，这个网站必须通过HTTPS协议来访问。也就是对于这个网站的HTTP地址，浏览器需要先在本地替换为HTTPS之后再发送请求。...
如何在 Nginx 中启用 HSTS？
网络技术联盟站
07-05 1368
HTTP Strict Transport Security（HSTS）是一种安全机制，可以帮助保护网站免受SSL/TLS剥离攻击和会话劫持等威胁。它强制客户端使用HTTPS与服务器建立安全连接，从而提高网站的安全性和数据保护级别。本文将为您提供在Nginx中启用HSTS的详细步骤和指导。
HTTP 响应头 Strict-Transport-Security 缺失漏洞
最新发布
itScholar001的博客
04-03 628
这个漏洞就是说明网站的HTTP响应头中没有设置Strict-Transport-Security，没有设置则可以通过将https自己手动改成htttp的方式进行访问。HTTP 响应头 Strict-Transport-Security 缺失漏洞。如果此时你用http去访问的话则会报403 forbidden错误。http去访问的话则会报403 forbidden错误。添加了这个之后请求的响应头就会有这一段。2.手动在代码中设置。
检测到目标Strict-Transport-Security响应头缺失
qq_43893277的博客
03-03 358
检测到目标Strict-Transport-Security响应头缺失。
未设置Strict-Transport-Security响应头【原理扫描】
tone1128的博客
07-12 1823
1.webconfig中添加响应头。
【绿盟】检测到目标Strict-Transport-Security响应头缺失
热门推荐
这把躺赢
10-22 1万+
1.问题展示 项目安全扫描，扫到以下问题。 检测到目标URL存在客户端（JavaScript）Cookie引用 检测到目标Strict-Transport-Security响应头缺失 检测到目标Referrer-Policy响应头缺失 检测到目标X-Permitted-Cross-Domain-Policies响应头缺失 检测到目标X-Download-Options响应头缺失 点击劫持：X-Frame-Options未配置 ..
clickjacking(点击劫持)、请求的响应头中缺少 Strict-Transport-Security
nly19900820的博客
08-25 605
检测到目标X-Permitted-Cross-Domain-Policies响应头缺失。// 请求的响应头中缺少 Strict-Transport-Security。检测到目标Strict-Transport-Security响应头缺失。设置统一过滤器，过滤所有请求，设置以上响应头，即可解决问题。检测到目标X-Download-Options响应头缺失。检测到目标Referrer-Policy响应头缺失。点击劫持：X-Frame-Options未配置。项目安全扫描，扫到以下问题。
Missing HTTP Strict-Transport-Security Header (HSTS) 解决
weixin_33796177的博客
08-21 4925
HSTS简介 HSTS(HTTP Strict Transport Security)是国际互联网工程组织IETF发布的一种互联网安全策略机制。采用HSTS策略的网站将保证浏览器始终连接到该网站的HTTPS加密版本，不需要用户手动在URL地址栏中输入加密地址，以减少会话劫持风险。 server { listen 443 ssl; server_name ww...
nginx-http-hsts:Nginx 模块添加适当的 Strict-Transport-Security 标头
05-30
nginx HSTS 模块 ngx_http_hsts 模块为 nginx 中的 HTTP 严格传输安全提供支持。 依赖关系 nginx 1.xx 的来源及其依赖项。 建造 解压 nginx_ 源代码： $ tar zxvf nginx-1.x.x.tar.gz 解压缩摘要模块的源代码： $ ...
https：将PSR-15中间件重定向到https并添加Strict-Transport-Security标头
02-17
中间件/ https 如果请求为http ，则中间件将重定向到https ，并添加标头以防止协议降级攻击和cookie劫持。 要求 PHP> = 7.2 安装 该软件包可通过Composer作为安装和自动加载。 composer require middlewares/https 例子 $ dispatcher = new Dispatcher ([ ( new Middlewares \ Https ()) -> includeSubdomains () ]); $ response = $ dispatcher -> dispatch ( new ServerRequest ()); 用法 该中间件接受Psr\Http\Message\ResponseFactoryInterface作为构造函数参数，以创建重定向响应。 如果未定义，将使用进行自动检测。 $ response
Laravel开发-strict-transport-security
08-28
在Laravel框架中，"Strict-Transport-Security"（简称HSTS）是一个重要的安全设置，用于增强Web应用程序的安全性。这个HTTP响应头指示浏览器只通过HTTPS与服务器进行通信，从而防止中间人攻击和SSL剥离等安全威胁。...
X-Frame-Options 报头缺失和未实施 HTTP 严格传输安全 (HSTS) 低危漏洞修复
xnxqwzy的博客
03-01 2076
网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。
漏洞处理 未启用HTTP严格传输安全（HSTS）策略-Nginx
LCG元的博客
08-26 1099
漏洞处理 未启用HTTP严格传输安全（HSTS）策略-Nginx
【已解决】IIS环境检测到网站存在响应头缺失、禁用Options方法、解决跨域攻击等不安全
wangjunlei的专栏
04-16 2566
4、检测到目标X-Permitted-Cross-Domain-Policies响应头缺失 重新配置IIS。5、检测到目标Strict-Transport-Security响应头缺失 重新配置IIS。3、检测到目标Content-Security-Policy响应头缺失 IIS设置。1、检测到目标X-Content-Type-Options响应头缺失。6、点击劫持：X-Frame-Options未配置 重新配置IIS。2、检测到目标X-XSS-Protection响应头缺失。
安全修复之Web——HTTP Strict-Transport-Security缺失
小小关的博客
06-29 1818
日常我们开发时，会遇到各种各样的奇奇怪怪的问题(踩坑o(╯□╰)o)，这个常见问题系列就是我日常遇到的一些问题的记录文章系列，这里整理汇总后分享给大家，让其还在深坑中的小伙伴有绳索能爬出来。 同时在这里也欢迎大家把自己遇到的问题留言或私信给我，我看看其能否给大家解决。 系统：windows10 语言：Golang golang版本：1.18 内容 安全预警 HTTP Strict-Transport-Security缺失安全限定： HTTP Strict-Transport-Security 可以
web前端利用HSTS(新的Web安全协议HTTP Strict Transport Security)漏洞的超级Cookie(HSTS Super Cookie)...
weixin_33796177的博客
04-13 584
web前端如果想实现cookie跨站点，跨浏览器，清除浏览器cookie该cookie也不会被删除这似乎有点难，下面的教程让你完全摆脱document.cookie 1、服务器端设置HSTS如PHP:<?php header("Strict-Transport-Security: max-age=31536000; includeSubDomains");?>includeSu...
HTTP Strict Transport Security (HSTS) Errors and Warnings,这个漏洞修复是一定要response headers里的strict-transport-security有includeSubDomains吗
05-24
HTTP Strict Transport Security (HSTS) 是一种安全机制，它可以帮助保护网站免受某些攻击，例如中间人攻击和SSLStrip攻击。HSTS要求浏览器只能通过HTTPS发出请求，而不是通过HTTP发出请求。当浏览器第一次连接到一个支持HSTS的网站时，该网站会在响应头中添加一个“Strict-Transport-Security”标头，告诉浏览器在指定的时间内只使用HTTPS与该网站通信。 为了防止子域名遭受攻击，建议将 "includeSubDomains" 参数添加到 "Strict-Transport-Security" 响应头中。这将确保所有子域名都受到 HSTS 的保护，而不仅仅是主域名。 虽然这不是必需的，但是建议将 "includeSubDomains" 参数添加到 "Strict-Transport-Security" 响应头中，以提高 HSTS 的安全性。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

墨痕诉清风

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值