关于X-Frame-Options 响应头配置避免点击劫持攻击的问题整理

最新推荐文章于 2024-04-30 19:00:00 发布

静和澜漪

最新推荐文章于 2024-04-30 19:00:00 发布

阅读量3.9k

点赞数

分类专栏：工作总结

本文链接：https://blog.csdn.net/w2326ice/article/details/80279696

版权

2 篇文章 0 订阅

订阅专栏

  2018.05.07 客户反映学校网站被扫描到 
   
 X-Frame-Options Header 
 未配置漏洞 

  经查询得到的解决方案一： 

  配置 Apache 

  配置 Apache 的httpd.conf 在所有页面上发送 X-Frame-Options 响应头，需要把下面这行添加到配置中: 

  Header always append X-Frame-Options SAMEORIGIN 

  配置位置： 

  修改两个服务器，制作和发布的apache的httpd.conf文件，修改完以后重启apache服务 

  /opt/sudytech/apache2/bin/apachectl restart 

  然而，这样配置后，发现了新的问题，客户网站的新闻内容无法显示了，原来客户网站有些内容是嵌套的二级域名网站的内容，然后想到的解决方案二： 

  Header set X-Frame-Options "ALLOW-FROM http://www.XXXX.edu.cn/" /*该域名填写客户主域名*/ 

  经测试，用该方法可以达到的效果就是客户主网站可以正常访问了，二级域名网站在ie、火狐不能被嵌套，但是在谷歌，360的极速模式是可以被嵌套的，主域名不能被嵌套。 

  涉及到的概念： 

 
 同源及跨域 

 
 1.同源策略 

 
 什么叫同源？ 

 
 URL由协议、域名、端口和路径组成，如果两个URL的协议、域名和端口相同，则表示他们同源。相反，只要 
 协议，域名，端口 
 有任何一个的不同，就被当作是跨域。 

 
 同源策略  Same-Origin-Policy(SOP) 

 
 浏览器 
 采用同源策略，禁止页面加载或执行与自身来源不同的域的任何脚本。换句话说浏览器禁止的是来自不同源的"document"或脚本，对当前"document"读取或设置某些属性。 

 
 情景： 

 
 比如一个恶意网站的页面通过iframe嵌入了银行的登录页面（二者不同源），如果没有同源限制，恶意网页上的javascript脚本就可以在用户登录银行的时候获取用户名和密码。 

 
 浏览器中有哪些不受同源限制呢？ 

 
 <script>、<img>、<iframe>、<link>这些包含 src 属性的标签可以加载跨域资源。但浏览器限制了JavaScript的权限使其不能读、写加载的内容。 

 
 2.跨域 

 
 跨域是指从一个域的网页去请求另一个域的资源。比如从http://www.aaaa.com/ 
  页面去请求 http://www.bbbb.com 
  的资源。 

  方案一是限定了同源：只能自己嵌套自己，二级网站也不能嵌套 

  方案二看似指定了嵌套对象：然而浏览器兼容性问题还是来了，不是所有浏览器都认 

  参考资料： 

 
 https://www.owasp.org/index.php/Clickjacking_Defense_Cheat_Sheet#Defending_with_Content_Security_Policy_frame-ancestors_directive 

 
 https://www.jianshu.com/p/51cc683402f0 

关注