web安全

青旅半醒 2021-12-05 19:59 353阅读 0赞

*  **[ X-Frame-Options][X-Frame-Options]**

存在" X-Frame-Options 响应头缺失 "问题，显示可能会造成跨帧脚本编制攻击

风险：攻击者可以使用一个透明的、不可见的iframe，覆盖在目标网页上，然后诱使用户在该网页上进行操作，此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置，可以诱使用户恰好点击iframe页面的一些功能性按钮上，导致被劫持。

**X-Frame-Options：**

值有三个：

（1）DENY：表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。

（2）SAMEORIGIN：表示该页面可以在相同域名页面的 frame 中展示。

（3）ALLOW-FROM https://example.com/：表示该页面可以在指定来源的 frame 中展示。

5.tomcat控制

tomcat/cnf/web.xml

通过tomcat控制最方便，不过实际配置过程中，版本过低的tomcat会启动不了，建议tomcat版本不要低于7.0.69 .

<filter-name>httpHeaderSecurity</filter-name>

<filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>

<init-param>

<param-name>antiClickJackingOption</param-name>

<param-value>SAMEORIGIN</param-value>

</init-param>

<async-supported>true</async-supported>

</filter>

<filter-mapping>

<filter-name>httpHeaderSecurity</filter-name>

<url-pattern>/\*</url-pattern>

</filter-mapping>

*  **内容安全策略CSP（Content-Security-Policy）**

[https://blog.csdn.net/u014465934/article/details/84199171][https_blog.csdn.net_u014465934_article_details_84199171]

[https://blog.csdn.net/qq\_41211900/article/details/79907460][https_blog.csdn.net_qq_41211900_article_details_79907460]

内容安全策略（CSP），其核心思想十分简单：网站通过发送一个 CSP 头部，来告诉浏览器什么是被授权执行的与什么是需要被禁止的。其被誉为专门为解决XSS攻击而生的神器。

1.前言

内容安全策略 (CSP) 是一个额外的安全层，用于检测并削弱某些特定类型的攻击，包括跨站脚本 (XSS) 和数据注入攻击等。无论是数据盗取、网站内容污染还是散发恶意软件，这些攻击都是主要的手段。

CSP 的实质就是白名单制度，开发者明确告诉客户端，哪些外部资源可以加载和执行，等同于提供白名单。它的实现和执行全部由浏览器完成，开发者只需提供配置。

CSP 大大增强了网页的安全性。攻击者即使发现了漏洞，也没法注入脚本，除非还控制了一台列入了白名单的可信主机。

2.CSP作用

限制资源获取

报告资源获取越权

*  **X-XSS-Protection**

[https://www.freebuf.com/articles/web/138769.html][https_www.freebuf.com_articles_web_138769.html]

顾名思义，这个响应头是用来防范XSS的。最早是在IE8，现在主流浏览器都支持，并且默认都开启了XSS保护，用这个header可以关闭它。它有几种配置：

浏览器提供的XSS保护机制并不完美，但是开启后仍然可以提升攻击难度，总之没有特别的理由，不要关闭它。

X-XSS-Protection: 0; (关闭XSS过滤)

X-XSS-Protection: 1; (启用XSS过滤,如果检测到跨站脚本攻击，浏览器将清除页面(删除不安全的部分))

X-XSS-Protection: 1; mode=block (启用XSS过滤。 如果检测到攻击，浏览器将不会清除页面，而是阻止页面加载)。1; report=<reporting-URI> (Chromium only) (启用XSS过滤。 如果检测到跨站脚本攻击，浏览器将清除页面并使用CSP report-uri指令的功能发送违规报告)。

*  **http set-cookie**

[https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Headers/Set-Cookie][https_developer.mozilla.org_zh-CN_docs_Web_HTTP_Headers_Set-Cookie]

[https://www.antbaba.com/2018/09/14/%E5%85%B3%E4%BA%8Ehttp%E7%9B%B8%E5%BA%94%E4%B8%AD%E7%9A%84set-cookie/][https_www.antbaba.com_2018_09_14_E5_85_B3_E4_BA_8Ehttp_E7_9B_B8_E5_BA_94_E4_B8_AD_E7_9A_84set-cookie]

只有客户端才能设置Cookie，服务端若想让客户端增加一个Cookie项，需要在应答时，在Http头部中，通过使用Set-Cookie，将要设置的Cookie项发送给客户端。这样客户端，在下次访问时，会带上该Cookie项。

Cookie相关的Http头

有 两个Http头部和Cookie有关：Set-Cookie和Cookie。

Set-Cookie由服务器发送，它包含在响应请求的头部中。它用于在客户端创建一个Cookie

Cookie头由客户端发送，包含在HTTP请求的头部中。注意，只有cookie的domain和path与请求的URL匹配才会发送这个cookie。

*  **X-Content-Type-Options**

[**https://blog.csdn.net/TivonaLH/article/details/86310298**][https_blog.csdn.net_TivonaLH_article_details_86310298]

功能：

互联网上的资源有各种类型，通常浏览器会根据响应头的Content-Type字段来分辨它们的类型。然而，有些资源的Content-Type是错的或者未定义。这时，某些浏览器会启用MIME-sniffing来猜测该资源的类型，解析内容并执行。X-Content-Type-Options告诉浏览器content-type是由自己定义的。

如果服务器发送响应头 "X-Content-Type-Options: nosniff"，则 [script][] 和 [styleSheet][] 元素会拒绝包含错误的 MIME 类型的响应。这是一种安全功能，有助于防止基于 MIME 类型混淆的攻击。

简单理解为：通过设置"X-Content-Type-Options: nosniff"响应标头，对 [**script**][script] 和 [**styleSheet**][styleSheet] 在执行是通过MIME 类型来过滤掉不安全的文件

[https://blog.csdn.net/u013310119/article/details/84861900][https_blog.csdn.net_u013310119_article_details_84861900]

package com.zichen.xhkq.filter;
    
    import java.io.IOException;
    
    import javax.servlet.Filter;
    import javax.servlet.FilterChain;
    import javax.servlet.FilterConfig;
    import javax.servlet.ServletException;
    import javax.servlet.ServletRequest;
    import javax.servlet.ServletResponse;
    import javax.servlet.http.HttpServletRequest;
    import javax.servlet.http.HttpServletResponse;
    
    public class XFrameOptionsHeaderFilter implements Filter {
    
    	String address = "*";//默认的访问地址，目前没有限制地址，* 代替
        public XFrameOptionsHeaderFilter() {
        }
    
    	@Override
        public void doFilter(ServletRequest req, ServletResponse resp, FilterChain chain) throws IOException, ServletException {
            //必须
            HttpServletRequest request = (HttpServletRequest) req;
            HttpServletResponse response = (HttpServletResponse) resp;
            //实际设置
            /*X-Frame-Options 响应头有三个可选的值：
            DENY：页面不能被嵌入到任何iframe或frame中；
            SAMEORIGIN：页面只能被本站页面嵌入到iframe或者frame中；
            ALLOW-FROM：页面允许frame或frame加载。*/
            response.setHeader("x-frame-options", "SAMEORIGIN"); //只允许嵌入本网站页面
            response.setHeader("Content-Security-Policy", "default-src https: http: 'unsafe-inline' 'unsafe-eval';connect-src https: http:"); //针对safi和chrome
            response.setHeader("Set-Cookie", "cookiename=value;Path=/;Domain=domainvalue;Max-Age=seconds;HTTPOnly");
            chain.doFilter(req, resp);
        }
    
    	
    	
    	@Override
    	public void destroy() {
    		// TODO Auto-generated method stub
    		
    	}
    
    
    	@Override
    	public void init(FilterConfig arg0) throws ServletException {
    		// TODO Auto-generated method stub
    		
    	}
    
    }

[X-Frame-Options]: https://www.cnblogs.com/xinaixia/p/7248675.html
[https_blog.csdn.net_u014465934_article_details_84199171]: https://blog.csdn.net/u014465934/article/details/84199171
[https_blog.csdn.net_qq_41211900_article_details_79907460]: https://blog.csdn.net/qq_41211900/article/details/79907460
[https_www.freebuf.com_articles_web_138769.html]: https://www.freebuf.com/articles/web/138769.html
[https_developer.mozilla.org_zh-CN_docs_Web_HTTP_Headers_Set-Cookie]: https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Headers/Set-Cookie
[https_www.antbaba.com_2018_09_14_E5_85_B3_E4_BA_8Ehttp_E7_9B_B8_E5_BA_94_E4_B8_AD_E7_9A_84set-cookie]: https://www.antbaba.com/2018/09/14/%E5%85%B3%E4%BA%8Ehttp%E7%9B%B8%E5%BA%94%E4%B8%AD%E7%9A%84set-cookie/
[https_blog.csdn.net_TivonaLH_article_details_86310298]: https://blog.csdn.net/TivonaLH/article/details/86310298
[script]: http://go.microsoft.com/fwlink/p/?LinkID=190912
[styleSheet]: http://go.microsoft.com/fwlink/p/?LinkID=239584
[https_blog.csdn.net_u013310119_article_details_84861900]: https://blog.csdn.net/u013310119/article/details/84861900