TA的每日心情 | 擦汗 2018-6-6 11:33 |
---|
签到天数: 348 天 [LV.8]以坛为家I
|
在我们平时的开发中,如果网页没有做防frame的处理,有可能被骇客利用,进行ClickJacking攻击,对网站造成损害。
其实在我们的日常开发中,养成这种安全意识的习惯,很容易就可以避免大部分的攻击力了。
以下几种方法可以防止被 FRAME 加载你的网站页面
1. meta 标签:很多时候没有效果,可以无视- meta http-equiv="Windows-Target" contect="_top"
复制代码 2. js 判断顶层窗口跳转,可轻易破解,意义不大- function locationTop(){
- if (top.location != self.location) {
- top.location = self.location;
- return false;
- }
- return true;
- }
- locationTop();
复制代码 破解:- // 顶层窗口中放入代码
- var location = document.location;
- // 或者 var location = "";
复制代码 3. header 控制,绝大部分浏览器支持
使用 X-Frame-Options 有三个可选的值:
DENY:浏览器拒绝当前页面加载任何Frame页面
SAMEORIGIN:frame页面的地址只能为同源域名下的页面
ALLOW-FROM:允许frame加载的页面地址
Java代码:
response.addHeader("x-frame-options","SAMEORIGIN");
Nginx配置:
add_header X-Frame-Options SAMEORIGIN
Apache配置:
Header always append X-Frame-Options SAMEORIGIN
|
|