【Client Cross Frame Scripting Attack】
Google 了一下似乎在 PHP 內的 header 加上 X-Frame-Options 相關設定就能解決此問題在 PHP 頁面中各別設定:
完全禁止任何 iframe 請求```php header("X-Frame-Options: DENY") ``` 只允許同 Domain 來源的請求
```php header("X-Frame-Options: SAMEORIGIN") ``` 只允許某網址的請求
```php header("X-Frame-Options: ALLOW-FROM http://www.google.com") ```
在 Apache 中設定:
```php Header always append X-Frame-Options DENY ```雖然此方應該能有效避免【Client Cross Frame Scripting Attack】這類攻擊,
但在 Checkmarx 的白箱弱掃時,似乎還是會誤判為無效,待持續觀察 ...
沒有留言:
張貼留言