安全漏洞 点击劫持:X-Frame-Options未配置

最近安全检测有遇到点击劫持:X-Frame-Options未配置,这个危险漏洞;这让我想起我曾经写过的一篇博客
同源策略
就是利用这个原理的;

同源策略

在不同的URL中,如果协议、域名、端口相同,那么这些URL则为同源,如果协议、域名、端口其中有一项不同,与路径不同无关,则为不同源,不同源的URL发送请求则为跨域请求。在浏览器中跨域采用同源策略,除非JS的

这里不谈原理,原理就是利用同源策略机制进行攻击的,同
还有jsonp类似;
安全漏洞 点击劫持:X-Frame-Options未配置_第1张图片

这里谈谈如何使用;

X-Frame-Options有三个值:

1.DENY

表示该页面不允许在 frame 中展示,即便是在相同域名的页面中嵌套也不允许。

2.SAMEORIGIN

表示该页面可以在相同域名页面的 frame 中展示。

3.ALLOW-FROM uri

表示该页面可以在指定来源的 frame 中展示。

方案一:

前端页面中使用:

 
 

你可能感兴趣的:(JavaWeb,web安全)