网站漏洞扫描结果:不安全Http请求头和不安全的第三方链接

Posted pensive

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了网站漏洞扫描结果:不安全Http请求头和不安全的第三方链接相关的知识,希望对你有一定的参考价值。

一、不安全Http请求头:

X-Content-Type-Options(Head字段)

X-XSS-Protection(Head字段)

X-Frame-Options(Head字段)

在IIS网站->HTTP响应头->修改如下:

原有:
名称:X-Powered-By 值:ASP.NET
在对应站点的HTTP响应头新增:
名称:X-Content-Type-Options 值:nosniff
名称:X-Frame-Options  值:SAMEORIGIN
名称:X-XSS-Protection 值:1

改后如图示:

技术图片

二、不安全的第三方链接

参考网址:
https://www.pianshen.com/article/9942760991/

超链接 target="_blank" 要增加 rel="nofollow noopener noreferrer" 来堵住钓鱼安全漏洞。如果你在链接上使用 target="_blank"属性,并且不加上rel="noopener"属性,那么你就让用户暴露在一个非常简单的钓鱼攻击之下
当你浏览一个页面点击一个a标签连接 <a href="www.baidu.com" target="_blank"> 跳转到另一个页面时,

在新打开的页面(baidu)中可以通过 window.opener获取到源页面的部分控制权, 即使新打开的页面是跨域的也照样可以(例如 location 就不存在跨域问题)。  

rel=noopener 新特性
<a href="www.baidu.com" target="_blank" rel="noopener noreferrer"></a>

在chrome 49+,Opera 36+,打开添加了rel=noopener的链接, window.opener 会为null。在老的浏览器中,可以使用 rel=noreferrer 禁用HTTP头部的Referer属性,使用下面javascript代替target=‘_blank‘ 的解决此问题:

var otherWindow = window.open(‘http://keenwon.com‘);
otherWindow.opener = null;
otherWindow.location = url;
使用 window.open 打开页面,手动把opener设置为null

 

以上是关于网站漏洞扫描结果:不安全Http请求头和不安全的第三方链接的主要内容,如果未能解决你的问题,请参考以下文章

网站安全防护(WAF)有啥用

SpringBoot 请求消息体解密(通信加密解密)

discuzX3.2 X3.4网站漏洞修复 SQL注入与请求伪造***利用与修复

干货5分钟科普CSRF攻击与防御,Web安全的第一防线

在JSON端点上利用CSRF漏洞的实践教程

常见36种WEB渗透测试漏洞描述及解决方法-不安全HTTP方法