标签：document 浏览器 解决方案 cookie 下一步
1.服务器扫面
■ HTTP TRACE Method Enabled
说明：
Apache服务器启用了TRACE Method。
1.TRACE_Method是HTTP（超文本传输）协议定义的一种协议调试方法，该方法会使服务器原样返回任意客户端请求的任何内容。
2. 由于该方法会原样返回客户端提交的任意数据，因此可以用来进行跨站脚本简称XSS攻击，这种攻击方式又称为跨站跟踪攻击简称XST。
危害：
1. 恶意攻击者可以通过TRACE Method返回的信息了解到网站前端的一些信息，如缓存服务器等，从而为下一步的攻击提供便利。
2.恶意攻击者可以通过TRACE Method进行XSS攻击
3.即使网站对关键页面启用了HttpOnly头标记和禁止脚本读取cookie信息，那么通过TRACE Method恶意攻击者还是可以绕过这个限制读取到cookie信息。
解决方案：
在httpd.conf的尾部添加：
TraceEnable off
■ Missing HttpOnly Flag From Cookie
说明：
利用js读取在浏览器document对象中储存的Cookie信息，从而获取身份信息进行攻击
解决方案：
给浏览器设置Cookie的头如下：
Set-Cookie: =[; =]
[; expires=][; domain=]
[; path=][; secure][; HttpOnly]
■ Click Jacking
说明：
Clickjacking（点击劫持）是由互联网安全专家罗伯特·汉森和耶利米·格劳斯曼在2008年首创的。
是一种视觉欺骗手段，在web端就是iframe嵌套一个透明不可见的页面，让用户在不知情的情况下，点击攻击者想要欺骗用户点击的位置。
解决方案：
X-Frame-Options HTTP 响应头，可以指示浏览器是否应该加载一个iframe中的页面。网站可以通过设置X-Frame-Options阻止站点内的页面被其他页面嵌入从而防止点击劫持。
X-FRAME-OPTIONS
X-Frame-Options共有三个值：
DENY:任何页面都不能被嵌入到iframe或者frame中。
SAMEORIGIN:页面只能被本站页面嵌入到iframe或者frame中。
ALLOW-FROM URI:页面自能被指定的Uri嵌入到iframe或frame中。
APACHE配置X-FRAME-OPTIONS
在站点配置文件httpd.conf中添加如下配置，限制只有站点内的页面才可以嵌入iframe。
Header always append X-Frame-Options SAMEORIGIN
配置之后重启apache使其生效。该配置方式对IBM HTTP Server同样适用。
如果同一apache服务器上有多个站点，只想针对一个站点进行配置，可以修改.htaccess文件，添加如下内容：
Header append X-FRAME-OPTIONS "SAMEORIGIN"
■ Apache HTTPD: error responses can expose cookies (CVE-2012-0053)
说明：
Apache服务器2.2.0-2.2.21版本存在一个漏洞（CVE-2012-0053），攻击者可通过给网站植入超大的Cookie，使得HTTP头超过apache的LimitRequestFieldSize（最大请求长度）8192字节，apache便会返回400错误，状态页中就包含了http-only保护的cookies。
解决方案：
Apache2.2.22及以上版本已经修复此问题，升级即可解决。
标签：document 浏览器 解决方案 cookie 下一步
原文地址：http://5201299.blog.51cto.com/5191299/1632240
