host头攻击解决方案_网站风险评估解决方案

评估报告

检测到目标主机可能存在缓慢的http拒绝服务攻击

客户端建立一个连接，以很低的速度发包，并保持住这个连接不断开。如果客户端持续建立这样的连接，那么服务器上可用的连接池将很快被占满，从而导致拒绝服务攻击。

解决办法
限制web服务器的HTTP头部传输的最大许可时间。对于Nginx，需要配置client_header_timeout，比如：

# vi /etc/nginx/sites-available/default
server {
        listen 80;

        location / {
        	client_header_timeout 60s;
        	proxy_pass http://localhost:8080/;
        }

}

如果需要全局配置：

# vi /etc/nginx/nginx.conf
http {
	client_header_timeout 60s;
}

client_header_timeout默认是65s，一般客户端超时时间是60s。

点击劫持：X-Frame-Options未配置

点击劫持是一种视觉上的欺骗手段。攻击者使用一个透明的iframe，覆盖在一个网页上，然后诱使用户在该网页上进行操作。Http的响应头X-Frame-Options可以阻止被其他页面嵌入，从而有效防止点击劫持。

X-Frame-Options的三种值：

1. DENY：不能被嵌入到任何iframe或者frame中。(SpringBoot默认配置)

2. SAMEORIGIN：页面只能被本站页面嵌入到iframe或者frame中。

3. ALLOW-FROM uri：只能被嵌入到指定域名的框架中。

解决方案
如果没有被嵌入的需求，可以设置为DENY：

response.setHeader("x-frame-options", "DENY");

如果只有本站嵌入的需求，可以设置为SAMEORIGIN：

response.setHeader("x-frame-options", "SAMEORIGIN");

如果有被其他网站嵌入的需求，可以设置为ALLOW-FROM并指定url：

# 单个域名
response.setHeader("x-frame-options", "ALLOW-FROM https://a.com");
# 多个域名
response.setHeader("x-frame-options", "ALLOW-FROM https://a.com,https://b.com");

检测到目标网站存在无效链接

1. 给网站设置一个404界面(如果死链较多或者找不到死链)。

2. 用robots.txt屏蔽死链接。

3. 给死链接做301重定向。