13
2025
03
21:06:51

设置X-Frame-Options防止页面被iframe框架嵌入

漏洞描述

点击劫持（ClickJacking）是一种视觉上的欺骗手段。攻击者使用一个透明的iframe，覆盖在一个网页上，然后诱使用户在网页上进行操作，此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置，可以诱使用户恰好点击在iframe页面的一些功能性按钮上。
HTTP响应头信息中的X-Frame-Options，可以指示浏览器是否应该加载一个iframe中的页面。如果服务器响应头信息中没有X-Frame-Options，则该网站存在ClickJacking攻击风险。网站可以通过设置X-Frame-Options阻止站点内的页面被其他页面嵌入从而防止点击劫持。

解决方案

修改web服务器配置，添加X-Frame-Options响应头。赋值有如下三种：
1、DENY：不能被嵌入到任何iframe或者frame中。
2、SAMEORIGIN：页面只能被本站页面嵌入到iframe或者frame中
3、ALLOW-FROM uri：只能被嵌入到指定域名的框架中

nginx设置

在server中添加如下代码：

add_header X-Frame-Options SAMEORIGIN;

apache设置

apache可配置http.conf如下：

<IfModule headers_module>      
Header always append X-Frame-Options "DENY" 
</IfModule>

测试

测试网站是否设置了X-Frame-Options
将如下的代码中iframe中的链接换成待测网站的，保存为.html文件，本地打开。如果打开的页面中显示了待测的网站，则说明没有设置，反之设置了。

  1. <html>

  2. <head>

  3.    <meta http-equiv="Content-Type" content="text/html; charset=utf-8">

  4.    <title>xxx̨</title></head>

  5. <frameset cols="*" frameborder="NO" border="0" framespacing="0">

  6.    <frame src=https://www.baidu.com/>

  7. </frameset>

  8. </html>




推荐本站淘宝优惠价购买喜欢的宝贝:

image.png

本文链接：https://sg.hqyman.cn/post/9573.html 非本站原创文章欢迎转载，原创文章需保留本站地址！

分享到：
打赏





休息一下~~


作者:hqy | 分类:技术文章 | 浏览:4 | 评论:0
« 上一篇 下一篇 »

发表评论:

◎欢迎参与讨论，请在这里发表您的看法、交流您的观点。

请先 登录 再评论，若不是会员请先 注册！

您的IP地址是: