Nginx漏洞X-XSS-Protection/Content-Security-Policy响应头缺失等处理

本文地址:http://api.04007.cn/article/1231.html 使用一些漏洞扫描工具对服务器进行搜查，总得扫出一些漏洞，比如检测到目标X-...响应头缺失之类的，扫描后报了不少头漏洞问题，之前碰到过也进行了一些修复，主要是在nginx的配置中添加一些配置，见： http://04007.cn/article/1141.html 这次又遇到一些，在这里补充一下这次碰到的漏洞问题及解决办法：

1. 检测到目标X-XSS-Protection响应头缺失
HTTP X-XSS-Protection 响应头是 Internet Explorer，Chrome 和 Safari 的一个特性，当检测到跨站脚本攻击(XSS)时，浏览器将停止加载页面。X-XSS-Protection响应头的缺失使得目标URL更易遭受跨站脚本攻击。
add_header X-Xss-header  "1;mode=block";

2. 检测到目标Content-Security-Policy响应头缺失
add_header X-Frame-Options SAMEORIGIN;

3.检测到目标URL存在客户端（JavaScript）Cookie引用
应该是检测到一些URL中存在cookie中的值，多是比如页面跳转的时候携带的token数据之类，如果是这种可以忽略。

4.检测到目标源码中可能存在用户名或者密码信息泄露
这是在你的数据发送的，比如post账户的时候发现有使用username/password这种很明显的账号密码字段数值，不过这种调整意义也不大。

5.检测到目标服务器可能存在系统路径信息泄露
参考其提示是在VUE的js文件里提到的VUE工程中一些类似路径的字符，不过这些都不是目标服务器上的路径，可以忽略。

本文地址:http://api.04007.cn/article/1231.html 未经许可,不得转载. 手机访问本页请扫描右下方二维码.

手机扫码直接打开本页面