关于X-Frame-Options 响应头配置避免点击劫持攻击的问题整理

2018.05.07 客户反映学校网站被扫描到   X-Frame-Options Header 未配置漏洞
关于X-Frame-Options 响应头配置避免点击劫持攻击的问题整理_第1张图片
经查询得到的解决方案一:

配置 Apache
配置 Apache 的httpd.conf 在所有页面上发送 X-Frame-Options 响应头,需要把下面这行添加到配置中:
Header always append X-Frame-Options SAMEORIGIN

配置位置:
关于X-Frame-Options 响应头配置避免点击劫持攻击的问题整理_第2张图片

修改两个服务器,制作和发布的apache的httpd.conf文件,修改完以后重启apache服务

/opt/sudytech/apache2/bin/apachectl restart

然而,这样配置后,发现了新的问题,客户网站的新闻内容无法显示了,原来客户网站有些内容是嵌套的二级域名网站的内容,然后想到的解决方案二:

Header set X-Frame-Options "ALLOW-FROM http://www.XXXX.edu.cn/" /*该域名填写客户主域名*/

经测试,用该方法可以达到的效果就是客户主网站可以正常访问了,二级域名网站在ie、火狐不能被嵌套,但是在谷歌,360的极速模式是可以被嵌套的,主域名不能被嵌套。

涉及到的概念:

同源及跨域
1.同源策略
什么叫同源?
URL由协议、域名、端口和路径组成,如果两个URL的协议、域名和端口相同,则表示他们同源。相反,只要 协议,域名,端口 有任何一个的不同,就被当作是跨域。
 
同源策略  Same-Origin-Policy(SOP)
浏览器 采用同源策略,禁止页面加载或执行与自身来源不同的域的任何脚本。换句话说浏览器禁止的是来自不同源的"document"或脚本,对当前"document"读取或设置某些属性。
情景:
比如一个恶意网站的页面通过iframe嵌入了银行的登录页面(二者不同源),如果没有同源限制,恶意网页上的javascript脚本就可以在用户登录银行的时候获取用户名和密码。
 
浏览器中有哪些不受同源限制呢?

你可能感兴趣的:(工作总结)