关闭

一些安全相关的HTTP header

时间: 2018-12-18阅读: 1034标签: 安全

1.Strict-Transport-Security

HTTP Strict-Transport-Security,简称为HSTS。
作用:允许一个HTTPS网站,要求浏览器总是通过HTTPS访问它。

strict-transport-security: max-age=16070400; includeSubDomains
  • includeSubDomains,可选,用于指定是否作用于子域名
  • 支持HSTS的浏览器遇到这个响应头,会把当前网站加入HSTS列表,然后在max-age指定的秒数内,当前网站所有请求都会被浏览器重定向为https。
  • Chrome内置了一个HSTS列表,默认包含Google、Paypal、Twitter、Linode等服务。输入chrome://net-internals/#hsts,进入HSTS管理界面,可以增加/删除/查询HSTS记录。

2.X-Frame-Options:是否允许一个页面可在<frame>、<iframe>、<object>中展现的标记。

作用:减少/避免点击劫持 (clickjacking) 的攻击。
使用方式如下:

x-frame-options: SAMEORIGIN

响应头支持三种配置:

  • DENY:表示该页面不允许在 frame 中展示,即便是在相同域名的页面中嵌套也不允许。
  • SAMEORIGIN:表示该页面可以在相同域名页面的 frame 中展示。
  • ALLOW-FROM uri:表示该页面可以在指定来源的 frame 中展示。

3.X-XSS-Protection

作用:防范XSS攻击。
PS:这个是旧属性,基本上可以被CSP取代,但是仍可以为还没有支持CSP的浏览器提供一层保护。
主流浏览器默认都开启了XSS保护。
使用方式如下:

X-XSS-Protection: 1; mode=block; report=/_/http-sec-report

支持配置:

  • 0:禁止XSS保护
  • 1:启用XSS保护:启用XSS保护,浏览器检测到XSS攻击会自动过滤非安全部分内容
  • 1;mode=block:启用XSS保护,并在检测到XSS攻击的时候停止渲染页面
  • 1;report=:启用XSS保护,检测到XSS攻击的时候,浏览器会自动过滤非安全内容,同时上报到指定URI。

4.X-Content-Type-Options

作用:禁用浏览器的Content-Type猜测行为。

背景:
浏览器通常会根据响应头Content-Type字段来分辨资源类型。有些资源的Content-Type是错的或者未定义。这时,浏览器会启用MIME-sniffing来猜测该资源的类型,解析内容并执行。
利用这个特性,攻击者可以让原本应该解析为图片的请求被解析为JavaScript

使用方法:

X-Content-Type-Options: nosniff

5.X-Content-Security-Policy(旧版)/Content-Security-Policy

作用:用于定义页面可以加载哪些资源,减少和上报XSS的攻击,防止数据包嗅探攻击。

响应头:

  • Content-Security-Policy
  • X-Content-Security-Policy
  • X-Webkit-CSP

使用方法:

Content-Security-Policy: default-src 'self'
  • 一个策略由一系列策略指令组成,每个策略指令都描述了一个针对某个特定类型资源以及生效范围的策略。
  • default-src是CSP指令,多个指令之间使用英文分号分割;
  • self是指令值,多个指令值用英文空格分割。
  • 支持的CSP指令

元素也可以用于配置CSP:

<meta http-equiv="Content-Security-Policy" content="default-src 'self'; img-src https://*; child-src 'none';">
指令指令值示例说明
default-src'self' cnd.a.com定义针对所有类型资源的默认加载策略,某类型资源如果没有单独定义策略,就使用默认的。
script-src'self' js.a.com定义针对JavaScript的加载策略
style-src'self' css.a.com定义针对样式的加载策略
img-src'self' img.a.com定义针对图片的加载策略
connect-src'self'针对Ajax、WebSocket等请求的加载策略。不允许的情况下,浏览器会模拟一个状态为400的响应。
font-srcfont.a.com针对WebFont的加载策略
object-src'self'针对<object>、<embed>、<applet>等标签引入的flash等插件的加载策略
media-srcmedia.a.com针对<audio>、<video>等标签引入的html多媒体的加载策略。
frame-src'self'针对frame的加载策略
sanboxallow-forms对请求的资源启用sandbox(类似于iframe的sandbox属性)
report-uri/report-uri告诉浏览器如果请求不被策略允许,往哪个地址提交日志信息。如果想让浏览器只汇报日志,不阻止任何内容,可以改用 Content-Security-Policy-Report-Only 头。

指令值可以由下面内容组成:

指令值指令值示例说明
img-src允许任何内容
'none'img-src 'none'不允许任何内容
'self'img-src 'self'允许来自相同源的内容(相同的协议、域名和端口)。
data:img-src data:允许data:协议(如base64编码的图片)
www.a.comimg-src img.a.com允许加载指定域名的资源
.a.comimg-src .a.com允许加载a.com任何子域的资源
https://img.comimg-src https://img.com允许加载img.com的https资源
https:img-src https:允许加载https资源
'unsafe-inline'script-src 'unsafe-inline'允许加载inline资源(例如常见的style属性,onclick, inline js, inline css)。
'unsafe-eval'script-src 'unsafe-eval'允许加载动态js代码,例如eval()。

违例报告

  • document-uri:发生违规的文档的URI。
  • referrer:违规发生处的文档引用地址
  • blocked-uri:被CSP阻止的资源URI。如果被阻止的URI来自不同的源而非文档URI,则被阻止的资源URI会被删减,仅保留协议、主机和端口号。
  • violated-directive:违反的策略名称
  • original-policy:在Content-Security-Policy HTTP header中指明的原始策略。

  • HttpOnly:防止使用javascript(如document.cookie)去存取cookie
  • Secure:强制cookie只能在HTTPS环境下传递

7.Referrer-Policy

作用:增加隐私保护。

可配置值:

  • no-referrer: 不允许被记录
  • origin:只记录origin,即域名
  • strict-origin:只有在HTTPS->HTTPS之间才会被记录下来
  • strict-origin-when-cross-origin:同源请求会发送完整的URL;HTTPS->HTTPS,发送源;降级下不发送此首部。
  • no-referrer-when-downgrade(default):同strict-origin
  • origin-when-cross-origin:对于同源的请求,会发送完整的URL作为引用地址,但是对于非同源请求仅发送文件的源。
  • same-origin:对于同源请求会发送完整URL,非同源请求则不发送referer
  • unsafe-url:无论是同源请求还是非同源请求,都发送完整的URL(移除参数信息之后)作为引用地址。(可能会泄漏敏感信息)

8.Public-Key-Pins(HPKP)

作用:防止中间人攻击。是HTTPS网站防止攻击者利用CA错误签发的证书进行中间人攻击的一种安全机制,用于预防CA遭入侵或者其他会造成CA签发未授权证书的情况。
服务器通过Public-Key-Pins(或Public-Key-Pins-Report-Onky用于监测)header向浏览器传递HTTP公钥固定信息。

基本格式:

Public-Key-Pins: pin-sha256="base64=="; max-age=expireTime [; includeSubdomains][; report-uri="reportURI"]

字段含义:

  • pin-sha256:即证书指纹,允许出现多次,实际上应用最少指定两个;
  • max-age:过期时间
  • includeSubdomains:是否包含子域
  • report-uri:验证失败时上报的地址

作者:AmyZYX 
出处:http://www.cnblogs.com/amyzhu/ 


站长推荐

1.云服务推荐: 国内主流云服务商,各类云产品的最新活动,优惠券领取。地址:阿里云腾讯云华为云

2.广告联盟: 整理了目前主流的广告联盟平台,如果你有流量,可以作为参考选择适合你的平台点击进入

链接: http://www.fly63.com/article/detial/1635

关闭

总结对象安全访问处理方案

在前端项目开发与生产的过程中,“cannot read property of undefined”是一个常见的错误。从不可知得到一个空数据问题在所难免。面对这种问题我们该怎么办呢?

CSRF攻击与防御

CSRF跨站点请求伪造(Cross—Site Request Forgery),跟XSS攻击一样,存在巨大的危害性,你可以这样来理解:攻击者盗用了你的身份,以你的名义发送恶意请求,对服务器来说这个请求是完全合法的,但是却完成了攻击者所期望的一个操作

叮咚生活官网,叮咚生活软件安全吗?

刷信用卡时爽的不行,还信用卡时头疼的要命,这恐怕是很多刷卡族的共性,也是不少普通收入的人面对信用卡账单时的一些痛点。那么,有没有更好的方法,既能让我们刷卡爽,还能让我们不为还款头疼呢?

Web安全测试检查单

Web安全测试检查单。上传功能:绕过文件上传检查功能,上传文件大小和次数限制。注册功能:注册请求是否安全传输,注册时密码复杂度是否后台检验,激活链接测试

浅谈前端安全

将Web安全问题按照发生的区域来分类,发生在浏览器、Web页面中的安全问题就是前端安全问题。同源:URL由协议、域名、端口和路径组成,如果两个URL的协议、域名和端口相同,则表示他们同源。

Web前端安全同样不可忽视,编写前端代码时保持安全意识

随着网络的普及,黑客进行网络攻击的手段越来也多,越来越复杂。前端的HTML、JavaScript、CSS、Flash等技术变成了前端攻击者和开发者的战场,网站安全问题也开始向前端倾斜。

web安全方案

完善的内容安全策略(CSP)是前端应用程序安全的基石。CSP是浏览器中引入的一种标准,用于检测和缓解某些类型的代码注入攻击,包括跨站点脚本(XSS)和点击劫持。

网站被劫持的方式都有哪些?

网络安全日益严峻,站长朋友们多多少少都遇到过被黑被劫持的经历,对于老老实实做人,认认真真做站的朋友来说,好不容易做出了一点成绩,一劫持就又回到解放前了,本期我们一起来探讨常见的网站被黑被劫持的手段有哪些

前端安全之防范XSS

XSS大部分前端coder都不会陌生,全称:跨站脚本漏洞(Cross Site Scripting,简写作XSS)是Web应用程序在将数据输出或者展示到网页的时候存在问题,导致攻击者可以将对网站的正常功能造成影响甚至窃取或篡改用户个人信息

常见Web安全问题攻防解析

XSS (Cross Site Script),跨站脚本攻击,因缩写和 CSS (Cascading Style Sheets) 重叠,所以叫 XSS。XSS 的原理是恶意攻击者往 Web 页面里插入恶意可执行网页脚本代码,当用户浏览该页之时,嵌入其中 Web 里面的脚本代码会被执行

点击更多...

内容以共享、参考、研究为目的,不存在任何商业目的。其版权属原作者所有,如有侵权或违规,请与小编联系!情况属实本人将予以删除!