X-Frame-Options(點擊劫持)

漏洞描述：
點擊劫持（ClickJacking）是一種視覺上的欺騙手段。攻擊者使用一個透明的iframe，覆蓋在一個網頁上，然后誘使用戶在網頁上進行操作，此時用戶將在不知情的情況下點擊透明的iframe頁面。通過調整iframe頁面的位置，可以誘使用戶恰好點擊在iframe頁面的一些功能性按鈕上。
HTTP響應頭信息中的X-Frame-Options，可以指示瀏覽器是否應該加載一個iframe中的頁面。如果服務器響應頭信息中沒有X-Frame-Options，則該網站存在ClickJacking攻擊風險。網站可以通過設置X-Frame-Options阻止站點內的頁面被其他頁面嵌入從而防止點擊劫持。
解決方案：
修改web服務器配置，添加X-Frame-Options響應頭。賦值有如下三種：
1、DENY：不能被嵌入到任何iframe或者frame中。
2、SAMEORIGIN：頁面只能被本站頁面嵌入到iframe或者frame中
3、ALLOW-FROM uri：只能被嵌入到指定域名的框架中
apache可配置http.conf如下：

Header always append X-Frame-Options "DENY" 1 2 3 比如如果我們使用phpstudy搭建的環境，我們可以 其他選項菜單—> php擴展及設置—>Apache模塊，勾選 headers_module 模塊，然后在Apache的配置文件 httpd.conf 中的空白行加入 Header always append X-Frame-Options SAMEORIGIN 即可！ 加之前：

加之后：

測試網站是否設置了X-Frame-Options
將如下的代碼中iframe中的鏈接換成待測網站的，保存為.html文件，本地打開。如果打開的頁面中顯示了待測的網站，則說明沒有設置，反之設置了。

1 2 3 4 5 6 7 8 9 10

————————————————
版權聲明：本文為CSDN博主「橘子就醬」的原創文章，遵循 CC 4.0 BY-SA 版權協議，轉載請附上原文出處鏈接及本聲明。
原文鏈接：https://blog.csdn.net/weixin_42728957/article/details/89357550