网站安全整改记录

女爷i 2022-04-04 16:12 486阅读 0赞

一个项目拿去做安全评测，评测的一些问题这里做一个记录以及对应的解决方案。

### 1.发现可高速缓存的SSL页面 ###

**解决思路**

禁用所有页面被浏览器缓存。

在响应中添加两个header。

*  Cache-Control:no-store
 *  Pragma:no-cache

参考资料：[浅谈http中的Cache-Control][http_Cache-Control]

### 2.启用了不安全的“OPTIONS”http方法 ###

**解决思路**

只留标准的get、post方法，其他所有方法均禁用

修改项目内的web.xml文件或者tomcat的web.xml文件。添加如下内容。

<security-constraint>
    	<web-resource-collection>
    		<web-resource-name>fortune</web-resource-name>
    		<url-pattern>/*</url-pattern>
    		<http-method>PUT</http-method>
    		<http-method>DELETE</http-method>
    		<http-method>HEAD</http-method>
    		<http-method>OPTIONS</http-method>
    		<http-method>TRACE</http-method>
    	</web-resource-collection>
    	<auth-constraint></auth-constraint>
    </security-constraint>
    <login-config>
    	<auth-method>BASIC</auth-method>
    </login-config>

参考资料：

[启用了不安全的HTTP方法][HTTP]

[启用不安全的HTTP方法解决方案][HTTP 1]

### 3.缺少HTTP Strict-Transport-Security头 ###

**解决思路**

添加响应头让浏览器自动跳转https请求。

在响应中添加如下header。

*  Strict-Transport-Security: max-age=31536000; includeSubDomains

**语法**

Strict-Transport-Security: max-age=<expire-time>
    Strict-Transport-Security: max-age=<expire-time>; includeSubDomains
    Strict-Transport-Security: max-age=<expire-time>; preload

*  **max-age=<expire-time>**：设置在浏览器收到这个请求后的<expire-time>秒的时间内凡是访问这个域名下的请求都使用HTTPS请求。
 *  **includeSubDomains**：可选，如果这个可选的参数被指定，那么说明此规则也适用于该网站的所有子域名。
 *  **preload**：可选，简单来说就是谷歌维护了一个[域名列表][Link 1]，凡是注册在列表内的域名都会具有从 http 跳转到 https 的浏览器内部行为。虽然列表由谷歌在维护，但是所有其他浏览器也会尝试使用这个列表。可参考[谷歌官方hsts文档][hsts] 。

参考资料：[HTTP 响应头：HTTP Strict Transport Security][HTTP _HTTP Strict Transport Security]

### 4.缺少“Content-Security-Policy”头 ###

**解决思路**

添加响应头让浏览器识别csp白名单的请求。

在响应中添加如下header。

*  Content-Security-Policy:default-src 'self' style-src 'self' 'unsafe-inline';

**语法**

1.  default-src 'self';       只允许同源下的资源
2.  script-src 'self';         只允许同源下的js
3.  script-src 'self' www.google-analytics.com ajax.googleapis.com;       允许同源以及两个地址下的js加载
4.  default-src 'none'; script-src 'self'; connect-src 'self'; img-src 'self'; style-src 'self';        多个资源时,后面的会覆盖前面的

参考资料：

[Content Security Policy 入门教程][Content Security Policy]

[前端安全配置之Content-Security-Policy(csp)][Content-Security-Policy_csp]

[Content-Security-Policy的实战应用][Content-Security-Policy]

### 5.缺少“X-Content-Type-Options”头 ###

X-Content-Type-Options 是用来禁用浏览器内容嗅探行为。

**解决思路**

在响应中添加如下header。

*  X-Content-Type-Options: nosniff

**语法**

**nosniff**：假如请求类型为以下两种，那么阻止请求的发生：

*  "style" 但是 MIME 类型不是 "text/css"，
 *  "script" 但是 MIME 类型不是 JavaScript MIME 类型。

参考资料：

[HTTP 响应头：X-Content-Type-Options][HTTP _X-Content-Type-Options]

[HTTP协议安全头部X-Content-Type-Options引入的问题][HTTP_X-Content-Type-Options]

### 6.缺少“X-XSS-Protection”头 ###

让浏览器使用xss过滤器

**解决思路**

在响应中添加如下header。

*  X-XSS-Protection: 1; mode=block

参考资料：

[被误解的X-XSS-Protection][X-XSS-Protection]

[安全隐患，你对X-XSS-Protection头部字段理解可能有误][X-XSS-Protection 1]

[为什么向http头添加一个header就能防范xss攻击？][http_header_xss]

[http_Cache-Control]: https://blog.csdn.net/u012375924/article/details/82806617
[HTTP]: https://blog.csdn.net/lww20080809/article/details/53333076
[HTTP 1]: https://blog.csdn.net/sdbwlr/article/details/52037832
[Link 1]: https://hstspreload.org/
[hsts]: https://www.chromium.org/hsts
[HTTP _HTTP Strict Transport Security]: https://www.jianshu.com/p/999492eb5b1a
[Content Security Policy]: http://www.ruanyifeng.com/blog/2016/09/csp.html
[Content-Security-Policy_csp]: https://www.cnblogs.com/heyuqing/p/6215761.html
[Content-Security-Policy]: https://www.jianshu.com/p/a8b769e7d4bd
[HTTP _X-Content-Type-Options]: https://www.jianshu.com/p/0e28d54e927b
[HTTP_X-Content-Type-Options]: http://www.jackieathome.net/archives/369.html?utm_source=tuicool&utm_medium=referral
[X-XSS-Protection]: https://blog.csdn.net/shabijiayong/article/details/79105863
[X-XSS-Protection 1]: https://www.freebuf.com/articles/web/138769.html
[http_header_xss]: https://segmentfault.com/q/1010000002728941