18215660330
您的当前位置: 首页 > 最新资讯 > X-Frame-Options头未设置 WASC Threat Classification 网站挂马处理办法

X-Frame-Options头未设置 WASC Threat Classification 网站挂马处理办法

时间: 2018-8-1

近期大量老旧的CMS系统被挂马,其中有大部分是因为X-Frame-Options头未设置,一般是通过扫描自动挂的,所以解决的办法如下,当然,自己服务器的绝对安全,以及CMS本身的安全也是很重要的,所以做成都网站建设,成都网店代运营,一定要找靠谱的公司!

漏洞类型:
跨站脚本攻击(XSS)
所属建站程序:
其他
所属服务器类型:
通用
所属编程语言:
其他
描述:
目标服务器没有返回一个X-Frame-Options头。

– 收起
X-Frame-Options HTTP响应头是用来确认是否浏览器可以在frame或iframe标签中渲染一个页面,网站可以用这个头来保证他们的内容不会被嵌入到其它网站中,以来避免点击劫持。

危害:
攻击者可以使用一个透明的、不可见的iframe,覆盖在目标网页上,然后诱使用户在该网页上进行操作,此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置,可以诱使用户恰好点击iframe页面的一些功能性按钮上,导致被劫持。
解决方案:
修改web服务器配置,添加X-frame-options响应头。赋值有如下三种:

(1)DENY:不能被嵌入到任何iframe或frame中。

(2)SAMEORIGIN:页面只能被本站页面嵌入到iframe或者frame中。

(3)ALLOW-FROM uri:只能被嵌入到指定域名的框架中。
也可在代码中加入,在PHP中加入:
header(‘X-Frame-Options: deny’);

配置 nginx

配置 nginx 发送 X-Frame-Options 响应头,把下面这行添加到 ‘http’, ‘server’ 或者 ‘location’ 的配置中:

add_header X-Frame-Options SAMEORIGIN;
联系我们

地址
四川省成都市人民南路四段成科西路三号省计算机应用研究中心B栋一楼

电话:18215660330

营业时间
星期一—五:9:00–18:00
星期六—日:11:00–15:00

我们服务过的客户

电商运营:德仁堂药业、贵州茅台河谷酱酒、蜀九香、精视力眼镜、多多礼城、卓群眼镜、GATINEAU、爱花坊等

大型集团:中石油西南油气田、大陆希望集团、华西希望集团、汉龙集团、棠湖集团、三和汽车集团、海诺尔集团、四川金盆地集团、川投水务集团、成都轻轨、成都地铁、天奥集团等。

案例展示
最新动态
联系我们

18215660330

服务热线

Copyright © 2018 成都淘宝代运营    版权所有