目录

一、背景

二、http基本安全配置

2.1 host头攻击漏洞

2.2 http method 请求方式攻击漏洞

2.3 点劫持漏洞（X-Frame-Options） 

2.4 X-Download-Options响应头缺失

2.5 Content-Security-Policy响应头缺失

2.6 Strict-Transport-Security响应头缺失

2.7 X-Permitted-Cross-Domain-Policies响应头缺失

2.8 Referrer-Policy响应头缺失

2.9 X-XSS-Protection响应头缺失

2.10 X-Content-Type-Options响应头缺失

2.11 会话cookie中缺少HttpOnly属性

---

一、背景

随着开发技术的发展及完善，一些网站系统会经常遭到各类XSS攻击、点劫持（ClickJacking、frame恶意引用等），从而造成重要信息的泄露以及服务器安全问题

二、http基本安全配置

2.1 host头攻击漏洞

该问题检测点在于 检测应用是否在请求目标站点时返回的URL是直接将Host头拼接在URI前

该漏洞的防御主要是限制IP地址，

配置示例

通过指定一个SERVER_NAME名单，只有这符合条件的允许通过，不符合条件的返回403状态码

server {
        listen 7200;
        server_name 127.0.0.1 192.168.10.188;
        if ($http_Host !~* ^192.168.10.188|127.0.0.1$)
        {
            return 403;
        }                
    }

2.2 http method 请求方式攻击漏洞

一般api接口配置，会要求使用某些指定的请求方式，比如post、get

配置如下示例

即仅仅让GET、POST类型请求通过，其余的请求方式返回403状态码

if ($request_method !~* GET|POST) {
            return 403;
  }

2.3 点劫持漏洞（X-Frame-Options） 

X-Frame-Options HTTP 响应头是微软提出来的一个HTTP响应头，主要用来给浏览器指示允许一个页面可否在 ,