您当前的位置:首页 > 网站建设笔记 >

X-Frame-Options头未设置

来源:360网站安全0

漏洞类型:跨站脚本攻击(XSS)

描述:目标服务器没有返回一个X-Frame-Options头。
X-Frame-Options HTTP响应头是用来确认是否浏览器可以在frame或iframe标签中渲染一个页面,网站可以用这个头来保证他们的内容不会被嵌入到其它网站中,以来避免点击劫持。

危害:攻击者可以使用一个透明的、不可见的iframe,覆盖在目标网页上,然后诱使用户在该网页上进行操作,此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置,可以诱使用户恰好点击iframe页面的一些功能性按钮上,导致被劫持。

解决方案:修改web服务器配置,添加X-frame-options响应头。赋值有如下三种:

  • 1、DENY:不能被嵌入到任何iframe或frame中。
  • 2、SAMEORIGIN:页面只能被本站页面嵌入到iframe或者frame中。
  • 3、ALLOW-FROM uri:只能被嵌入到指定域名的框架中。

也可在代码中加入,在PHP中加入:header("X-Frame-Options: deny");

建站咨询

在线咨询真诚为您提供专业解答服务

咨询热线

137 1731 25507×24小时服务热线

微信交流

二维码终于等到你,还好我没放弃
返回顶部