首页> 开发问题 >网站漏洞 网站漏洞

检测网站,发现点击劫持:X-Frame-Options未配置,解决方法

作者:小萝卜 2019-05-15 浏览 3044

简介点击劫持(ClickJacking)是一种视觉上的欺骗手段。攻击者使用一个透明的、不可见的iframe,覆盖在一个网页上,然后诱使用户在该网页上进行操作,此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置,可以诱使用户恰好点击在iframe页面的一些功能性按钮上。

详情描述

点击劫持(ClickJacking)是一种视觉上的欺骗手段。攻击者使用一个透明的、不可见的iframe,覆盖在一个网页上,然后诱使用户在该网页上进行操作,此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置,可以诱使用户恰好点击在iframe页面的一些功能性按钮上。 

HTTP 响应头信息中的X-Frame-Options,可以指示浏览器是否应该加载一个 iframe 中的页面。如果服务器响应头信息中没有X-Frame-Options,则该网站存在ClickJacking攻击风险。网站可以通过设置 X-Frame-Options 阻止站点内的页面被其他页面嵌入从而防止点击劫持。

解决办法
修改web服务器配置,添加X-Frame-Options响应头。赋值有如下三种: 
1、DENY:不能被嵌入到任何iframe或者frame中。 
2、SAMEORIGIN:页面只能被本站页面嵌入到iframe或者frame中。 
3、ALLOW-FROM uri:只能被嵌入到指定域名的框架中。 
例如: 
apache可配置http.conf如下: 
<IfModule headers_module>
	Header always append X-Frame-Options "DENY"
</IfModule>
或者直接在php文件中配置
header('X-Frame-Options: deny');

很赞哦! (0)

文章评论

    高端网站建设