如何实现安全性HTTP标头以防止漏洞？

本文概述

• X-XSS-Protection
• HTTP Strict Transport Security
• X-Frame-Options
• X-Content-Type-Options
• HTTP Public Key Pinning
• Content Security Policy
• X-Permitted-Cross-Domain-Policies
• Referrer-Policy
• Expect-CT
• Feature-Policy

你是否知道大多数安全漏洞都可以通过在响应标头中实现必要的标头来解决？

安全与你网站的内容和SEO一样重要, 并且由于配置错误或缺乏保护, 数以千计的网站被黑客入侵。如果你是网站所有者或安全工程师, 并希望保护你的网站免受Clickjacking, 代码注入, MIME类型, XSS等的攻击, 那么本指南将为你提供帮助。

在本文中, 我将讨论在多个Web服务器, 网络边缘和CDN提供程序中实现的各种HTTP标头, 以更好地保护网站。

笔记：

• 建议你在进行更改之前先备份配置文件
• 某些标题可能并非在所有浏览器上都受支持, 因此请在实现之前检查一下兼容性。
• 必须在Apache中启用Mod_headers才能实现这些头。确保在httpd.conf文件中未注释以下行。

LoadModule headers_module modules/mod_headers.so

• 实现后, 你可以使用安全头在线工具来验证结果。

使用WordPress ？：你可能想尝试使用HTTP标头插件, 该插件可以处理这些标头等等。

安全的HTTP标头

• X-XSS-Protection
• HTTP Strict Transport Security
• X-Frame-Options
• X-Content-Type-Options
• HTTP Public Key Pinning
• Content Security Policy
• X-Permitted-Cross-Domain-Policies
• Referrer-Policy
• Expect-CT
• Feature-Policy

X-XSS-Protection

X-XSS-Protection标头可以防止某种程度的XSS(跨站点脚本)攻击, 并且与IE 8 +, Chrome, Opera, Safari和Android兼容。

Google, Facebook, Github使用此标头, 并且大多数渗透测试咨询公司都将要求你实现此标头。

你可以通过四种方法配置此标头。

让我们在以下网络服务器中实现1; mode = block。

Apache HTTP服务器

在Apache Web服务器的httpd.conf中添加以下条目

Header set X-XSS-Protection "1; mode=block"

重新启动Apache进行验证

Nginx的

在nginx.conf中的http块下添加以下内容

add_header X-XSS-Protection "1; mode=block";

需要重启Nginx才能将其反映在你的网页响应标头中。

最大CDN

如果你使用的是MaxCDN, 那么添加标头就很容易且即时。

转到Edge Rules >>单击” New Rule”, 然后从下拉列表中选择” Add X-XSS-Protection Header”。

微软IIS

• 打开IIS管理器
• 选择你需要启用标题的站点
• 转到” HTTP响应头”。
• 在操作下单击”添加”
• 输入名称, 值, 然后单击确定

• 重新启动IIS以查看结果

HTTP Strict Transport Security

HSTS(HTTP Strict Transport Security性)标头, 以确保来自浏览器的所有通信均通过HTTPS(HTTP安全)发送。这样可以防止HTTPS点击提示, 并将HTTP请求重定向到HTTPS。

在实现此标头之前, 你必须确保可以通过HTTPS访问所有网站页面, 否则将被阻止。

浏览器的所有主要最新版本(例如IE, Firefox, Opera, Safari和Chrome)都支持HSTS标头。有三个参数配置。

因此, 让我们以配置HSTS一年的示例为例, 其中包括域和子域的预加载。

Apache HTTP服务器

你可以通过在httpd.conf文件中添加以下条目来在Apache中实现HSTS。

Header set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

重新启动Apache以查看结果

Nginx的

要在Nginx中配置HSTS, 请在server(SSL)指令下的nginx.conf中添加下一个条目

add_header Strict-Transport-Security 'max-age=31536000; includeSubDomains; preload';

和往常一样, 你需要重新启动Nginx进行验证

云耀斑

如果你使用的是Cloudflare, 则只需单击几下即可启用HSTS。

• 登录到Cloudflare并选择站点
• 转到”加密”标签, 然后单击”启用HSTS”。

选择所需的设置, 更改将即时应用。

微软IIS

启动IIS管理器, 并通过转到相应站点的” HTTP响应标头”来添加标头。

重新启动网站

X-Frame-Options

使用X-Frame-Options标头可防止你网站上的Clickjacking漏洞。通过实现此标头, 可以指示浏览器不要将你的网页嵌入frame / iframe。这在浏览器支持方面有一些限制, 因此你必须在实现之前进行检查。

你可以配置以下三个参数。

让我们看一下如何实现”拒绝”, 以便没有域嵌入网页。

阿帕奇

在httpd.conf中添加以下行, 然后重新启动Web服务器以验证结果。

Header always append X-Frame-Options DENY

Nginx的

在服务器指令/块下的nginx.conf中添加以下内容。

add_header X-Frame-Options” DENY”;

重新启动以验证结果

F5 LTM

使用以下内容创建一个iRule并将其与相应的虚拟服务器关联。

when HTTP_RESPONSE {

HTTP::header insert "X-FRAME-OPTIONS" "DENY"

}

你无需重新启动任何操作, 更改会立即反映出来。

WordPress的

你也可以通过WordPress实现此标头。在wp-config.php文件中添加以下内容

header('X-Frame-Options: DENY);

如果你不满意编辑文件, 则可以使用此处说明或上面提到的插件。

微软IIS

通过转到相应站点的” HTTP响应标头”来添加标头。

重新启动站点以查看结果。

X-Content-Type-Options

通过将此标头添加到网页的HTTP响应中, 可以防止MIME类型的安全风险。具有此标头可指示浏览器将文件类型视为已定义, 并禁止内容嗅探。你只需添加” nosniff”一个参数。

让我们看看如何宣传此标头。

Apache

你可以通过在httpd.conf文件中添加以下行来实现

Header set X-Content-Type-Options nosniff

不要忘记重启Apache网络服务器以使配置生效。

Nginx

在服务器块下的nginx.conf文件中添加以下行。

add_header X-Content-Type-Options nosniff;

和往常一样, 你必须重新启动Nginx来检查结果。

微软IIS

打开IIS并转到HTTP响应头

单击添加并输入名称和值

单击”确定”, 然后重新启动IIS以验证结果。

HTTP Public Key Pinning

通过固定证书来最大程度地降低中间人(MITM)的攻击风险。 HPKP(HTTP公共密钥固定)标头可以做到这一点。

你可以固定根证书公钥或即时证书。在撰写本文时, HPKP当前可在Firefox和Chrome中运行, 并支持SHA-256哈希算法。

有四种可能的参数配置。

我们来看看来自facebook.com的HPKP标头示例

public-key-pins-report-only:max-age=500; pin-sha256="WoiWRyIOVNa9ihaBciRSC7XHjliYS9VwUGOIud4PB18="; pin-sha256="r/mIkG3eEpVdm+u/ko/cwxzOMo1bk4TyHIlByibiA5E="; pin-sha256="q4PO2G2cbkZhZ82+JgmRUyGMoAeozA+BSXVXQWB8XWQ="; report-uri=http://reports.fb.com/hpkp/

如果你需要在网站上实现此操作, 请访问Scott Helme编写的实现指南。

Content Security Policy

通过在网页HTTP响应中实现内容安全策略(CSP)标头, 防止XSS, 点击劫持, 代码注入攻击。 CSP指示浏览器将允许的内容加载到网站上。

所有浏览器都不支持CSP, 因此你必须在实现之前进行验证。你可以通过三种方式获得CSP标头。

1. 内容安全策略–级别2 / 1.0
2. X-Content-Security-Policy –已弃用
3. X-Webkit-CSP –已弃用

如果你仍在使用已弃用的服务器, 则可以考虑升级到最新的服务器。

有多种参数可以实现CSP, 你可以参考OWASP以获得一个想法。但是, 让我们看一下两个最常用的参数。

以下示例将来自同一来源的所有内容加载到各种Web服务器中。

阿帕奇

在httpd.conf文件中添加以下内容, 然后重新启动Web服务器以使其生效。

Header set Content-Security-Policy "default-src 'self';"

Nginx的

在nginx.conf文件的服务器块中添加以下内容

add_header Content-Security-Policy "default-src 'self';";

微软IIS

在IIS管理器中转到你各自站点的HTTP响应标头, 然后添加以下内容

X-Permitted-Cross-Domain-Policies

使用Adobe产品(例如PDF, Flash等)？你可以实现此标头, 以指示浏览器如何处理跨域请求。通过实现此标头, 你可以限制从其他域加载网站的资产, 以避免资源滥用。

有一些可用的选项。

阿帕奇

如果你不想允许任何政策。

Header set X-Permitted-Cross-Domain-Policies "none"

你应该看到如下所示的标题。

Nginx的

并且, 假设你需要实现仅主机, 然后在服务器块下的nginx.conf中添加以下内容。

add_header X-Permitted-Cross-Domain-Policies master-only;

和结果。

Referrer-Policy

想要控制网站的引荐来源网址政策？有一定的隐私和安全利益。但是, 并非所有浏览器都支持所有选项, 因此请在实现之前查看你的要求。

Referrer-Policy支持以下语法。

阿帕奇

如果要设置无引荐来源, 可以添加以下内容。

Header set Referrer-Policy "no-referrer"

并且在重启之后, 你应该在响应头中。

Nginx的

假设你需要实现同源, 因此必须添加以下内容。

add_header Referrer-Policy same-origin;

配置完成后, 你应该具有以下结果。

Expect-CT

仍处于实验状态的新标头将指示浏览器验证与Web服务器的连接以实现证书透明(CT)。 Google的这个项目旨在修复SSL / TLS证书系统中的某些缺陷。

以下三个变量可用于Expect-CT标头。

阿帕奇

假设你要执行此政策, 报告并缓存12小时, 那么你必须添加以下内容。

Header set Expect-CT 'enforce, max-age=43200, report-uri="https://somedomain.com/report"'

并且, 这是结果。

Nginx的

如果你要报告并缓存1小时该怎么办？

add_header Expect-CT 'max-age=60, report-uri="https://mydomain.com/report"';

输出将是。

Feature-Policy

控制浏览器的功能, 例如地理位置, 全屏, 扬声器, USB, 自动播放, 扬声器, 振动, 麦克风, 付款, VR等, 以在Web应用程序中启用或禁用。

阿帕奇

假设你需要禁用全屏功能, 并且可以在httpd.conf或apache2.conf中添加以下内容。

Header always set Feature-Policy "fullscreen 'none' "

如何在一行中添加多个功能？

也有可能！

Header always set Feature-Policy "fullscreen 'none'; microphone 'none'"

重新启动Apache HTTP以查看结果。

上面的代码将指示浏览器禁用全屏和麦克风。

Nginx的

再举一个例子-禁用振动功能。

add_header Feature-Policy "vibrate 'none';";

或者, 禁用地理位置, 摄像头和扬声器。

add_header Feature-Policy "geolocation 'none'; camera 'none'; speaker 'none';";

这是重启Nginx之后的输出。

所有Nginx配置都位于nginx.conf或你使用的任何自定义文件中的http块下。

总结

保护网站的安全是一项挑战, 我希望通过实现上述标头, 可以增加安全性。如果你正在运营一个商务站点, 那么你还可以考虑使用像SUCURI这样的WAF云来保护你的在线业务。 SUCURI的优点在于, 它既提供安全性又提供性能。