网站常见漏洞(二)

风险名称	点击劫持：X-Frame-Options响应头丢失
风险级别	中风险
风险描述	返回的响应头信息中没有包含x-frame-options头信息设置，点击劫持(ClickJacking)允许攻击者使用一个透明的iframe，覆盖在一个网页上，然后诱使用户在该页面上进行操作，此时用户将在不知情的情况下点击透明的iframe页面；
测试过程
影响地址	https://github.com/linshaosec
加固建议	配置nginx发送X-Frame-Options响应头，把下面这行添加到’http’,‘server’或者’location’的配置中: add_header X-Frame-Options SAMEORIGIN;

风险名称	缺少HTTP标头”Content-Security-Policy”(网页安全政策)
风险级别	低风险
风险描述	内容安全策略没有通过元标记或标头声明，因此可以利用浏览器对从服务器接收到的内容的信任。恶意脚本由受害者的浏览器执行，因为浏览器信任内容的来源，即使不是原始地点的。
测试过程
风险分析	csp也是一种XSS解决方案，它可以通过配置来防止从外部加载资源，拒绝执行js等等，但错误的配置可能会引起网站功能异常
影响地址	https://github.com/linshaosec
加固建议	可通过中间件容器配置添加响应包头 可在页面内直接添加meta标记

风险名称	TRACE方法启用
风险级别	中风险
风险描述	TRACE方法是HTTP（超文本传输）协议定义的一种协议调试方法，该方法使得服务器原样返回任何客户端请求的内容（可能会附加路由中间的代理服务器的信息），由于该方法原样返回客户端提交的任意数据，因此，可用来进行跨站脚本（XSS）攻击，这种攻击方式又称为跨站跟踪攻击（XST）。
测试过程
影响地址	https://github.com/linshaosec
风险分析	即使网站对关键页面启用了HttpOnly头标记,攻击者也可以通过TRACE方法绕过进行XSS攻击，盗取会话cookie、获取账户、模拟其他用户身份，甚至可以修改网页呈现给其他用户的内容
加固建议	关闭不安全的传输方法，推荐只使用POST、GET方法！

风险名称	使用有漏洞的组件
风险级别	低风险
风险描述	jQuery v1.12.4存在DOM型XSS
测试过程
影响地址	https://github.com/linshaosec
加固建议	升级jQuery为新版本 或者修改字段1.12.4为3.52.4迷惑攻击者和误导扫描器识别。

风险名称	缓慢的HTTP拒绝服务攻击
风险级别	中风险
风险描述	由于HTTP请求底层使用TCP网络连接进行会话，因此如果中间件对会话超时时间设置不合理，并且HTTP在发送请求的时候采用慢速发HTTP请求，就会导致占用一个HTTP连接会话。
测试过程
影响地址	https://github.com/linshaosec
风险分析	如果发送大量慢速的HTTP包就会导致拒绝服务攻击DoS。
加固建议	限制HTTP头部传输的最大许可时间。超过指定时间HTTP Header还没有传输完成，直接判定源IP地址为慢速连接攻击，中断连接并加入黑名单。