天存信息
天存信息

WEB安全防护相关响应头（上）

WEB安全防护相关响应头（上）

  • 一、X-Frame-Options -- 打破框框
  • 二、X-Content-Type-Options -- IE你别瞎猜猜了
  • 三、HTTP Strict Transport Security (HSTS) -- 不加密不舒服斯基
  • 四、浏览器兼容性
  • 五、这些响应头打哪儿来的？！
    • 1. APACHE
    • 2. NGINX
    • 3. IIS

WEB 安全攻防是个庞大的话题，有各种不同角度的探讨和实践。即使只讨论防护的对象，也有诸多不同的方向，包括但不限于：WEB 服务器、数据库、业务逻辑、敏感数据等等。除了这些我们惯常关注的方面，WEB 安全还有一个重要的元素——网站的使用者。

他们通常是完全没有 IT 知识的普通用户，网站方可以做点什么，以增加对这些普通用户的保护呢？以前较被忽略的步骤是：正确设置页面的响应头 (Response Headers) 。这类加入安全相关响应头的做法，往往是为了保护客户端／使用者的安全，减少使用者落入黑客的 WEB 陷阱的可能。

这里我们介绍一些较为常用的，和安全相关的响应头。当然，WEB 应用应该根据自己的实际情况部署和设置，并非盲目地一股脑地全部招呼上。

一、X-Frame-Options – 打破框框

从 2008 年开始，研发人员发现一种利用视觉误导，引诱使用者行为的可能，这种做法后来被命名为点击劫持 (Click Jacking) 。

攻击者的通常做法是，在自己的页面里通过框架（iframe）的形式，包含一个不属于它本站的页面。下面的示例代码里包含的就是 【163 邮箱】的设置页。而由黑客控制的父级页面本身可以是任何内容，它通过精确调整自己页面的内容和 iframe 的坐标及大小，再通过 CSS 的 opacity 透明度设置，把用户内容所在的 iframe 透明度设置为全透明。

以下为示例代码：

<style>
   .iframe{
      opacity: 0.4;}
  body {
       background: url(./sales.png) no-repeat fixed top;
  }   
style>
head>
<body>