搜索

[24110] 2015-07-20_一些安全相关的HTTP响应头

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2015-07-20_一些安全相关的HTTP响应头 一 些 安 全 相 关 的   H T T P   响 应 头 L i n u x 中 国   2 0 1 5 - 0 7 - 2 0 现 代 浏 览 器 提 供 了 一 些 安 全 相 关 的 响 应 头 ， 使 用 这 些 响 应 头 一 般 只 需 要 修 改 服 务 器 配 置 即 可 ， 不 需 要 修 改 程 序 代 码 ， 成 本 很 低 。 本 文 介 绍 一 些 这 样 的 响 应 头 ： 1 .   S t r i c t - T r a n s p o r t - S e c u r i t y H T T P   S t r i c t   T r a n s p o r t   S e c u r i t y ， 简 称 为 H S T S 。 它 允 许 一 个 H T T P S 网 站 ， 要 求 浏 览 器 总 是 通 过 H T T P S 来 访 问 它 。 现 阶 段 ， 除 了 C h r o m e 浏 览 器 ， F i r e f o x 4 + ， 以 及 F i r e f o x 的 N o S c r i p t 扩 展 都 支 持 这 个 响 应 头 。 我 们 知 道 H T T P S 相 对 于 H T T P 有 更 好 的 安 全 性 ， 而 很 多 H T T P S 网 站 ， 也 可 以 通 过 H T T P 来 访 问 。 开 发 人 员 的 失 误 或 者 用 户 主 动 输 入 地 址 ， 都 有 可 能 导 致 用 户 以 H T T P 访 问 网 站 ， 降 低 了 安 全 性 。 一 般 ， 我 们 会 通 过 W e b   S e r v e r 发 送 3 0 1 / 3 0 2 重 定 向 来 解 决 这 个 问 题 。 现 在 有 了 H S T S ， 可 以 让 浏 览 器 帮 你 做 这 个 跳 转 ， 省 一 次 H T T P 请 求 。 另 外 ， 浏 览 器 本 地 替 换 可 以 保 证 只 会 发 送 H T T P S 请 求 ， 避 免 被 劫 持 。 要 使 用 H S T S ， 只 需 要 在 你 的 H T T P S 网 站 响 应 头 中 ， 加 入 下 面 这 行 ： i n c l u d e S u b D o m a i n s 是 可 选 的 ， 用 来 指 定 是 否 作 用 于 子 域 名 。 支 持 H S T S 的 浏 览 器 遇 到 这 个 响 应 头 ， 会 把 当 前 网 站 加 入 H S T S 列 表 ， 然 后 在 m a x - a g e 指 定 的 秒 数 内 ， 当 前 网 站 所 有 请 求 都 会 被 重 定 向 为 h t t p s 。 即 使 用 户 主 动 输 入 或 者 不 输 入 协 议 部 分 ， 都 将 重 定 向 到 地 址 。 C h r o m e 内 置 了 一 个 H S T S 列 表 ， 默 认 包 含 G o o g l e 、 P a y p a l 、 T w i t t e r 、 L i n o d e 等 等 服 务 。 我 们 也 可 以 在 C h r o m e 输 入 c h r o m e : / / n e t - i n t e r n a l s / # h s t s ， 进 入 H S T S 管 理 界 面 。 在 这 个 页 面 ， 你 可 以 增 加 / 删 除 / 查 询 H S T S 记 录 。 例 如 ， 你 想 一 直 以 h t t p s 访 问 某 网 址 ， 通 过 “ a d d   D o m a i n ” 加 上 去 就 好 了 。 查 看 C h r o m e 内 置 的 全 部 H S T S 列 表 ， 或 者 想 把 自 己 的 网 站 加 入 这 个 列 表 ， 请 点 这 里 。 2 .   X - F r a m e - O p t i o n s X - F r a m e - O p t i o n s ， 已 经 转 正 为 F r a m e - O p t i o n s ， 但 现 阶 段 使 用 最 好 还 是 带 上 X - 。 C h r o m e 4 + 、 F i r e f o x 3 . 6 . 9 + 、 I E 8 + 均 支 持 ， 详 细 的 浏 览 器 支 持 情 况 看 这 里 。 使 用 方 式 如 下 ： 这 个 响 应 头 支 持 三 种 配 置 ： D E N Y ： 不 允 许 被 任 何 页 面 嵌 入 ； S A M E O R I G I N ： 不 允 许 被 本 域 以 外 的 页 面 嵌 入 ； A L L O W - F R O M   u r i ： 不 允 许 被 指 定 的 域 名 以 外 的 页 面 嵌 入 （ C h r o m e 现 阶 段 不 支 持 ） ； 如 果 某 页 面 被 不 被 允 许 的 页 面 以 < i f r a m e > 或 < f r a m e > 的 形 式 嵌 入 ， I E 会 显 示 类 似 于 “ 此 内 容 无 法 在 框 架 中 显 示 ” 的 提 示 信 息 ， C h r o m e 和 F i r e f o x 都 会 在 控 制 台 打 印 信 息 。 由 于 嵌 入 的 页 面 不 会 加 载 ， 这 就 减 少 了 点 击 劫 持 （ C l i c k j a c k i n g ） 的 发 生 。 3 .   X - X S S - P r o t e c t i o n 顾 名 思 义 ， 这 个 响 应 头 是 用 来 防 范 X S S 的 。 最 早 我 是 在 介 绍 I E 8 的 文 章 里 看 到 这 个 ， 现 在 主 流 浏 览 器 都 支 持 ， 并 且 默 认 都 开 启 了 X S S 保 护 ， 用 这 个 h e a d e r 可 以 关 闭 它 。 它 有 几 种 配 置 ： 0 ： 禁 用 X S S 保 护 ； 1 ： 启 用 X S S 保 护 ； 1 ;   m o d e = b l o c k ： 启 用 X S S 保 护 ， 并 在 检 查 到 X S S 攻 击 时 ， 停 止 渲 染 页 面 （ 例 如 I E 8 中 ， 检 查 到 攻 击 时 ， 整 个 页 面 会 被 一 个 # 替 换 ） ； 浏 览 器 提 供 的 X S S 保 护 机 制 并 不 完 美 ， 但 是 开 启 后 仍 然 可 以 提 升 攻 击 难 度 ， 总 之 没 有 特 别 的 理 由 ， 不 要 关 闭 它 。 4 .   X - C o n t e n t - T y p e - O p t i o n s 1 .   s t r i c t - t r a n s p o r t - s e c u r i t y :   m a x - a g e = 1 6 0 7 0 4 0 0 ;   i n c l u d e S u b D o m a i n s h t t p : / / h t t p s : / / 1 .   x - f r a m e - o p t i o n s :   S A M E O R I G I N
互 联 网 上 的 资 源 有 各 种 类 型 ， 通 常 浏 览 器 会 根 据 响 应 头 的 C o n t e n t - T y p e 字 段 来 分 辨 它 们 的 类 型 。 例 如 ： " t e x t / h t m l " 代 表 h t m l 文 档 ， " i m a g e / p n g " 是 P N G 图 片 ， " t e x t / c s s " 是 C S S 样 式 文 档 。 然 而 ， 有 些 资 源 的 C o n t e n t - T y p e 是 错 的 或 者 未 定 义 。 这 时 ， 某 些 浏 览 器 会 启 用 M I M E - s n i f f i n g 来 猜 测 该 资 源 的 类 型 ， 解 析 内 容 并 执 行 。 例 如 ， 我 们 即 使 给 一 个 h t m l 文 档 指 定 C o n t e n t - T y p e 为 " t e x t / p l a i n " ， 在 I E 8 - 中 这 个 文 档 依 然 会 被 当 做 h t m l 来 解 析 。 利 用 浏 览 器 的 这 个 特 性 ， 攻 击 者 甚 至 可 以 让 原 本 应 该 解 析 为 图 片 的 请 求 被 解 析 为 J a v a S c r i p t 。 通 过 下 面 这 个 响 应 头 可 以 禁 用 浏 览 器 的 类 型 猜 测 行 为 ： 这 个 响 应 头 的 值 只 能 是 n o s n i f f ， 可 用 于 I E 8 + 和 C h r o m e 。 另 外 ， 它 还 被 C h r o m e 用 于 扩 展 下 载 ， 见 这 里 。 5 .   X - C o n t e n t - S e c u r i t y - P o l i c y 这 个 响 应 头 主 要 是 用 来 定 义 页 面 可 以 加 载 哪 些 资 源 ， 减 少 X S S 的 发 生 。 之 前 单 独 介 绍 过 ， 请 点 击 继 续 浏 览 ： C o n t e n t   S e c u r i t y   P o l i c y 介 绍 。 别 人 怎 么 用 最 后 ， 我 们 来 看 看 几 个 实 际 案 例 ： G o o g l e + ， 使 用 了 这 几 个 本 文 提 到 的 响 应 头 ： T w i t t e r 使 用 了 这 些 ： P a y P a l 的 ： F a c e b o o k 则 使 用 了 这 些 （ 配 置 了 详 细 的 C S P ， 关 闭 了 X S S 保 护 ） ： 1 .   X - C o n t e n t - T y p e - O p t i o n s :   n o s n i f f 1 .   x - c o n t e n t - t y p e - o p t i o n s :   n o s n i f f 2 .   x - f r a m e - o p t i o n s :   S A M E O R I G I N 3 .   x - x s s - p r o t e c t i o n :   1 ;   m o d e = b l o c k 1 .   s t r i c t - t r a n s p o r t - s e c u r i t y :   m a x - a g e = 6 3 1 1 3 8 5 1 9 2 .   x - f r a m e - o p t i o n s :   S A M E O R I G I N 3 .   x - x s s - p r o t e c t i o n :   1 ;   m o d e = b l o c k 1 .   X - F r a m e - O p t i o n s :   S A M E O R I G I N 2 .   S t r i c t - T r a n s p o r t - S e c u r i t y :   m a x - a g e = 1 4 4 0 0 1 .   s t r i c t - t r a n s p o r t - s e c u r i t y :   m a x - a g e = 6 0 2 .   x - c o n t e n t - t y p e - o p t i o n s :   n o s n i f f 3 .   x - f r a m e - o p t i o n s :   D E N Y 4 .   x - x s s - p r o t e c t i o n :   0 5 .   c o n t e n t - s e c u r i t y - p o l i c y :   d e f a u l t - s r c   * ; s c r i p t - s r c   h t t p s : / / * . f a c e b o o k . c o m   h t t p : / / * . f a c e b o o k . c o m   h t t p s : / / * . f b c d n . n e t   h t t p : / / * . f b c d n . n e t   * . f a c e b o o k . n e t   * . g o o g l e - a n a l y t i c s . c o m   * . v i r t u a l e a r t h . n e t   * . g o o g l e . c o m   1 2 7 . 0 . 0 . 1 : *   * . s p o t i l o c a l . c o m : *   c h r o m e - e x t e n s i o n : / / l i f b c i b l l h k d h o a f p j f n l h f p f g n p l d f l   ' u n s a f e - i n l i n e '   ' u n s a f e - e v a l '   h t t p s : / / * . a k a m a i h d . n e t   h t t p : / / * . a k a m a i h d . n e t ; s t y l e - s r c   *   ' u n s a f e - i n l i n e ' ; c o n n e c t - s r c   h t t p s : / / * . f a c e b o o k . c o m   h t t p : / / * . f a c e b o o k . c o m   h t t p s : / / * . f b c d n . n e t   h t t p : / / * . f b c d n . n e t   * . f a c e b o o k . n e t   * . s p o t i l o c a l . c o m : *   h t t p s : / / * . a k a m a i h d . n e t   w s : / / * . f a c e b o o k . c o m : *   h t t p : / / * . a k a m a i h d . n e t   h t t p s : / / f b . s c a n a n d c l e a n l o c a l . c o m : * ;
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理