点击劫持：X-Frame-Options未配置

漏洞报告：

点击劫持：X-Frame-Options未配置。

漏洞描述：

点击劫持（ClickJacking）是一种视觉上的欺骗手段。攻击者使用一个透明的、不可见的iframe，覆盖在一个网页上，然后诱使用户在该网页上进行操作，此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置，可以诱使用户恰好点击在iframe页面的一些功能性按钮上。 

HTTP 响应头信息中的X-Frame-Options，可以指示浏览器是否应该加载一个 iframe 中的页面。如果服务器响应头信息中没有X-Frame-Options，则该网站存在ClickJacking攻击风险。网站可以通过设置 X-Frame-Options 阻止站点内的页面被其他页面嵌入从而防止点击劫持。

解决办法：

修改web服务器配置，添加X-Frame-Options响应头。赋值有如下三种： 

（1）DENY：不能被嵌入到任何iframe或者frame中。 

（2）SAMEORIGIN：页面只能被本站页面嵌入到iframe或者frame中。 

（3）ALLOW-FROM uri：只能被嵌入到指定域名的框架中。 

实际操作如下：

（1）如果是iis环境，在网站根目录新建web.config配置文件，并在文件中加入以下代码：

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <system.webServer>
        <httpProtocol>
            <customHeaders>
                <!--点击劫持：X-Frame-Options未配置-->
                <add name="X-Frame-Options" value="SAMEORIGIN" />
            </customHeaders>
        </httpProtocol>
    </system.webServer>
</configuration>

（2）如果是Apache环境，在网站根目录新建.htaccess配置文件，并在文件中加入以下代码：

<IfModule mod_headers.c>
  Header set X-Frame-Options SAMEORIGIN
</IfModule>

如果在.htaccess中有其他伪静态规则，在放在伪静态规则前面即可，如下所示：

<IfModule mod_headers.c>
  Header set X-Frame-Options SAMEORIGIN
</IfModule>
<IfModule mod_rewrite.c>
RewriteEngine on
RewriteRule ^article-([0-9]+)-([0-9]+)-([0-9]+).html index.php?m=content&c=index&a=show&catid=$1&id=$2&page=$3
RewriteRule ^category-([0-9]+)-([0-9]+).html index.php?m=content&c=index&a=lists&catid=$1&page=$2
</IfModule>

验证方法：

根据点击劫持：X-Frame-Options未配置漏洞原理，通过从目标站点响应头信息中检查X-Frame-Options配置情况进行漏洞验证。